Covid-19 No mundo cibernético
O vírus corona nos pegou despreparados e atingiu com força em todo o mundo, enquanto o mundo inteiro estava ocupado tentando descobrir como lidar com a epidemia..
Os hackers aproveitaram o medo do público para produzir campanhas relacionadas ao vírus corona para infectar computadores com malware e roubar informações e, especialmente, para produzir danos, mas um ataque específico foi divulgado e recebeu manchetes em todo o mundo em todas as mídias possíveis.
Neste artigo iremos explicar sobre este ataque interessante e detalhar em detalhes como o Malware funcionou e como foi operado.
Todos foram expostos e encontrados pelo menos uma vez no famoso mapa de Johns Hopkins, que mostra estatísticas sobre o número de pessoas infectadas com o vírus corona, o número de mortos, o número de pessoas em recuperação, etc..
Um grupo de hackers escreveu um Malware que puxa as informações deste mapa e as apresenta ao usuário quando ele baixa um arquivo chamado Corona-Virus-Map, observe que este é um software que é baixado para um computador e não para o famoso site.
Depois que um usuário abre o mapa, o malware realmente rouba senhas do computador, cartões de crédito armazenados no navegador e muito mais.
O Malware utiliza várias camadas de embalagens para se disfarçar e complicar o processo de investigação.Além disso, utiliza o método MultiSub Process para criar diversos processos com o objetivo de confundir o pesquisador e dificultar ainda mais o monitoramento da ação maliciosa do malware..
O próprio malware vem de uma família conhecida chamada "AZORult", que foi vista pela primeira vez em 2016 e seu propósito é roubar informações de estações remotas. Esta família surgiu de fóruns russos subterrâneos e até hoje não é possível identificar a fonte exata.
Ao longo dos anos, este malware atualizou e de fato se adaptou a excelentes capacidades de roubo de informações, o mesmo malware que foi injetado no processo malicioso era de novas versões da mesma família, o que resultou em sua porcentagem de percepção relativamente baixa no início.
Sequência de comandos do malware:
Primeiramente, o pesquisador começou a realizar uma análise dinâmica para entender a árvore de operações executáveis do arquivo.:
Como você pode ver o processo principal CoronaMap.exe"[PID 4280]" Realiza a abertura de outro processo denominado Corona.exe"[PID 7032]", Ao abordar o segundo processo, pode-se ver que é um arquivo do tipo arquivamento (rar) Portanto, é provável que haja um uso de SFX aqui, que é basicamente uma extração independente e execução de um arquivo.
Para verificar o conteúdo que está lá, tudo o que você tinha que fazer era abrir o mesmo arquivo no Winrar e então descobrimos mais dois arquivos que o mesmo arquivo contém "Corona.bat" "Corona.sfx.exe" Também podemos vê-los na árvore acima, na abertura de "Corona.bat" Pelo Bloco de Notas pode-se perceber que o arquivo é responsável por extrair o conteúdo que está no "Corona.sfx.exe":
Como você pode ver, o arquivo foi extraído por uma senha que foi gravada dentro do arquivo Bat e a extração deveria jogar o conteúdo no caminho C:\windows\system32"".
O processo Corona.sfx.exe"[PID 3552]" Extraia dele um arquivo que é chamado Corona.exe"[PID 9452]" , Este arquivo produz mais arquivos, mas iremos abordar três principais:
Bin.exe[PID 8604]
timeout.exe[PID 5680]
Build.exe[6348]
Primeiramente verificaremos o arquivo bin.exe[PID 8604] E com a ajuda do depurador pode-se ver a escrita de uma DLL muito interessante chamada nss3.dll
Depois de se aprofundar no depurador, você pode ver que há cargas estáticas de funções da DLL que removem a criptografia que está dentro do navegador para extrair as senhas abertamente:
Lista de funções que foram usadas:
O Malware usa essas funções para remover a criptografia que o navegador usa em seu banco de dados a fim de recuperar as senhas e detalhes de uma forma que seja visível, esses detalhes são senhas, nomes de usuário, números de cartão de crédito e qualquer informação armazenada no banco de dados interno do navegador que ajuda-o a lembrar de nossas senhas.
O malware pede o "login data" E o transfere temporariamente para "C:\windows\temp", Esta informação é construída em cima de uma estrutura de dados chamada Sqlite3 DB e para ler nossas informações o malware deve consultr deste banco de dados para extrair as senhas salvas e depois de fazer isso com sucesso usando as funções carregadas de nss3.dll ele as salva em um arquivo chamado "PasswordList.txt":
Uma vez que entendamos que estamos tratando aqui de Malware cujo propósito todo é o roubo de informação, é possível revelar que outro tipo de informação ele está procurando e quer roubar, por exemplo, carteiras de moedas virtuais. (Bitcoin, Etherium):
Verificando se o aplicativo Telegram também está instalado na estação para roubar a senha:
Tira uma captura de tela:
Usa Ip-Api para entender qual é o seu endereço IP e de qual país você vem:
Além disso, ele coleta informações sobre o sistema operacional, arquitetura, nome do computador, nome de usuário, idioma e muito mais:
Depois que todas essas informações são coletadas, o Malware basicamente comprime tudo e transfere para o servidor do invasor http://104.24.103.192/
Depois de entendermos exatamente o que esse processo faz, vamos examinar "timeout.exe"[PID 5680] E o que se pode deduzir é que o uso desse processo é bastante conhecido como outra técnica para diminuir a suspeita de antivírus esperando para rodar e criando um atraso.
Em seguida, verificando o processo Build.exe"[PID 6348]" Foi possível ver um carregamento da DLL identificando a função LoadLibrary e a DLL carregada é na verdade Taskschd.dll o que implica diretamente em um método de subida, a ideia é que uma tarefa agendada pode ser usada para executar um processo em um determinado horário pode ser a cada 5 minutos ou a cada 5 horas Ou mesmo a cada segundo, você pode ver na foto que o Malware criou um mecanismo de subida para garantir que ele seja capaz de correr indefinidamente e sempre coletar novas informações que se acumulam na estação e as passam para o autor do ataque:
Você também pode ver que o malware conhece alvos especifico e o está procurando para roubar informações:
Este malware específico foi descoberto no início, portanto, não atingiu uma infecção tão disseminada, mas não há dúvida de que os invasores em tempos difíceis tornam-se muito criativos e procuram qualquer forma de infectar e roubar suas informações.