IMPORTANTE

IoC 08/10/2021

CERT-AgID semplifica l’accesso ai propri Indicatori di Compromissione (IoC)

Fino ad oggi per accedere agli indicatori delle campagne malevole gestiti e censiti quotidianamente dal CERT-AGID era necessario disporre di tre requisiti: Essere una Pubblica Amministrazione; Accreditarsi presso il CERT-AGID; Dotarsi di una opportuna instanza MISP o del client di interfacciamento CNTI sviluppato dallo stesso CERT-AgID. Mentre i primi due requisiti resteranno invariati in quanto […]

Malpedia

yau 05/03/2021

YAU – Parte 16 – Il C2, vulnerabilità

Negli articoli precedenti abbiamo visto l’architettura del C2, in questo mostriamo alcune vulnerabilità facili da identificare. Sebbene semplici, queste vulnerabilità permettono (o meglio lo permettevano) di arrivare ad installare shell PHP sul C2. YAU – YET ANOTHER URSNIF Questo è il sedicesimo di una serie di articoli, tutti raggruppati qui. Credenziali di default Nella root […]

yau 02/03/2021

YAU – Parte 15 – Il C2, i sorgenti e l’architettura

Dopo la breve panoramica sull’interfaccia del C2, è il momento di mettere mano ai sorgenti. Vedremo in questo articolo come recuperarli e ne descriveremo l’architettura (MVC) usata.L’analisi completa dei sorgenti non è affrontata poichè non di eccessivo interesse, si tratta di codice piuttosto semplice scritto in un linguaggio altrettanto semplice, per cui eventuali approfondimenti sono […]

yau 23/02/2021

YAU – Parte 13 – Il client, comandi e trasmissione al C2

Nell’articolo precedente abbiamo visto la struttura del client Ursnif. La quantità di codice di Ursnif è piuttosto ingente ed un’analisi dettagliata richiederebbe non solo molto tempo ma anche molta forza di volontà di eventuali lettori. Ci limitiamo quindi a mostrare le parti più interessanti: i comandi che il client può eseguire (dalla configurazione o dal […]

yau 19/02/2021

YAU – Parte 12 – Il client, da powershell ad explorer.exe e ai browser

Nell’articolo precedente abbiamo visto la parte di Ursnif comune a tutti i processi infettati. Adesso l’esecuzione prende strade diverse a seconda del processo infettato.Il diramamento avviene in ParserSetHooks ma nell’esposizione linearizzeremo la logica mostrando come Ursnif si sposti da powershell ad explorer.exe e da questi prosegue l’infezione. YET ANOTHER URSNIF Questo è il docicesimo di […]

yau 16/02/2021

YAU – Parte 11 – Il client, inizializzazione e configurazione

Il Client è il cuore di Ursnif.Viene avviato tramite MSHTA e PowerShell ma da questi è in grado di diffondersi in altri processi, primi tra tutti explorer.exe ed i browser Firefox, Edge, Internet Explorer, Opera e Safari. Il client è in grado di eseguire una serie di comandi, ottenuti dalla sua configurazione (contenuta in un […]

yau 11/02/2021

YAU – Parte 10 – Rimozione di Ursnif

In questo articolo vedremo come rimuovere Ursnif dal computer di una vittima. L’analisi fin ora fatta ci ha permesso di determinare quale meccanismo di persistenza usi Ursnif e quindi ci dà modo di rimuoverlo. YET ANOTHER URSNIF Questo è il decimo di una seria di articoli, tutti raggruppati qui. Indice Parte 1, Le e-mail e il […]

yau 09/02/2021

YAU – Parte 9 – Il secondo stadio, salvataggio dei moduli e persistenza

Questo articolo termina l’analisi del secondo stadio.Nel precedente ci eravamo fermati alla decifratura dei moduli.Ursnif contatta ogni C2 della sua configurazione fino ad ottenere un esito positivo, esito che si materializza con il download di tre moduli. Una volta scaricati e decifrati, questi moduli sono ri-codificati prima di essere salvati nel registro di sistema.Lo script […]

yau 04/02/2021

YAU – Parte 8 – Il secondo stadio, configurazione e download

Nell’ultimo articolo avevamo iniziato a vedere il secondo stadio.Abbiamo visto le funzionalità più accessorie, adesso è il momento di iniziare a fare sul serio e analizzare il codice più interessante. In questo articolo vedremo come Ursnif interagisca con il C2 e come decifrare in modo automatico i moduli scaricati. YET ANOTHER URSNIF Questo è l’ottavo […]

yau 02/02/2021

YAU – Parte 7 – Il secondo stadio, seed, GUID e privilegi

Nell’articolo precedente avevamo solo estratto i JJ chunk dal secondo stadio e avevamo visto come questo fosse sufficiente ad ottenere i primi IoC. Adesso è il momento di analizzare il secondo stadio nel dettaglio. YET ANOTHER URSNIF Questo è il settimo di una seria di articoli, tutti raggruppati qui. Indice Parte 1, Le e-mail e il […]

yau 28/01/2021

YAU – Parte 6 – Il secondo stadio e i primi IoC

Nel capitolo precedente avevamo finalmente terminato l’analisi dei packer di Ursnif.A partire dal dropper contenuto nelle macro del documento malevolo (spesso una macro 4.0 che usa UrlDownloadToFile) avevamo analizzato la DLL scaricata per scoprire come questa fosse in realtà un packer che utilizza tecniche ed algoritmi piuttosto variabili nel tempo. Grazie ad UUE possiamo estrarre […]