Questa settimana una email con oggetto “Bonifici (SWIFT)” ha raggiunto le caselle di posta di diversi utenti italiani con una comunicazione che apparentemente sembra provenire dall’Istituto di Credito Relax Banking e che mostra nel corpo del messaggio l’anteprima miniaturizzata di due file PDF. Le vittime sono quindi spinte a cliccare su tali anteprime con l’intenzione di leggere i documenti ma in realtà vengono indirizzate ad un link per il download di un file ISO dal quale, una volta aperto, partirà l’infezione.

La catena di infezione porta all’installazione di BluStealer, un malware di tipo infostealer che di recente si sta diffondendo anche in Italia e che, nella variante rilevata ed analizzata dal CERT-AgID, ha lo scopo di esfiltrare:

• le credenziali da quasi 40 applicazioni (incluse applicazioni VPN, FTP, browser, client di posta);
• le informazioni delle carte di credito salvate nei browser;
• i messaggi di posta elettronica scaricati;
• i contatti della rubrica di alcuni client di posta

Inoltre, al fine di frodare le vittime per fargli effettuare pagamenti indesiderati, il malware sostituisce gli indirizzi dei portafogli di criptovalute, ogni volta che questi sono copiati, con portafogli propri. Questo fa sì che dalle macchine infette i pagamenti arrivino agli autori della campagna malware e non ai destinatari voluti.

Le informazioni carpite vengono inoltrate via email agli autori della campagna.

Il messaggio di posta risulta inviato da una macchina ospitata su un servizio localizzato negli USA, che nulla ha a che vedere con l’Istituto di Credito e le miniature mostrate all’interno del messaggio, che raffigurano l’anteprima dei due PDF, altro non sono che una immagine con un link che punta al download di un archivio ISO che risulta essere stato creato il giorno stesso: 03/10/2022 alle 12:44.

All’interno del contenitore ISO è presente un file denominato “Ref407582” con l’icona raffigurante la miniatura di un documento e la data di creazione identica a quella dell’archivio ISO.

Come è facile immaginare, il file in questione non è un documento ma un eseguibile EXE scritto in .NET. L’icona utilizzata è solo un’ulteriore esca per convincere la vittima a cliccarci su per aprirlo. A questo punto ha inizio la vera e propria compromissione del sistema.

Stadio 1 – Ref407582.exe

Il file Ref407582.exe effettua il download di un file JPG da un server remoto:

Anche in questo caso il file JPG scaricato non è una immagine ma un file di testo contenente codice esadecimale.

Il codice inizia con il noto header utilizzato per i file PE “4D5A”: infatti convertendo il codice da esadecimale a binario otteniamo una DLL anch’essa scritta in .NET.

In definitiva, il compito del loader Ref407582.exe è quello di:

1. Scaricare il file JPG;
2. Ottenere la DLL a partire dal codice esadecimale;
3. Lanciare la DLL.

Scorrendo il codice del loader Ref407582.exe troviamo infatti la funzione finale delegata ad eseguire il metodo Ekspddgnlokwx dell’oggetto Cswytgvgrthoeykgymg.Wdlzfqlzmtekcolssmd contenuto nella DLL appena scaricata (Cswytgvgrthoeykgymg.dll)

Stadio 2 – Cswytgvgrthoeykgymg.dll

Analizzando le caratteristiche della DLL, ci ritroviamo di fronte ad una recente conoscenza: PureCrypter injector, già osservato in Italia per veicolare PureMiner e BitRat. PureCrypter è un tool commerciale, in vendita a prezzi accessibili, che vanta numerose funzionalità per offuscare il codice binario finale.

Per quanto possa sembra ostico da analizzare, viste le numerose funzioni e relative operazioni che vengono eseguite in memoria per decifrare le informazioni occultate nelle risorse, con un po’ di pazienza è possibile velocizzare l’analisi ed estrarre il payload finale impostando appena due breakpoint nelle giuste funzioni.

La funzione di seguito illustrata mostra il risultato finale di ogni operazione. In realtà, sarebbe sufficiente un solo breakpoint sul risultato ritornato dalla funzione per osservare le stringhe decodificate:

Prima di rilasciare il malware definitivo, PureCrypter verifica che il nome della macchina in cui è in esecuzione sia differente da “hal9th” e che il nome utente sia diverso da “johndoe” al fine di rilevare la presenza dell’emulatore antivirus Windows Defender. Poi si garantisce la persistenza copiando se stesso in “\AppData\Roaming\docs\offic.exe“.

In fine, rilascia ed esegue il malware finale che in questo caso si rivela essere BluStealer, conosciuto anche come a310logger, scritto in Visual Basic 6.0.

Stadio 3 – BluStealer VB6

La caratteristica principale di questo malware è quella di essere scritto in Visual Basic 6.0, una tecnologia risalente al 1998. Contrariamente ad alcuni packer (es: GuLoader) che utilizzano eseguibili VB6 come “gusci”, il cui unico scopo è nascondere lo shellcode malevolo, BluStealer è veramente scritto interamente in VB6.

Fare reverse engineering di un eseguibile VB6 è simile al reverse di un eseguibile Delphi, eccetto che il primo fa ampio uso di COM (che, per l’analista, si traduce in chiamate indirette nelle varie vtable e meno aiuto da parte di tecnologie come FLIRT) e che il runtime non è linkato staticamente (è invece in MSVBVM60.dll). Considerando che anche semplici espressioni VB6 sono compilate in una moltitudine di chiamate del runtime, questo rende il reverse piuttosto tedioso.

Esistono dei decompilatori VB6 ma nessuno di essi fa un buon lavoro con il codice compilato nativamente: tuttavia anche con un listato non del tutto corretto o completo è possibile risalire al comportamento del malware.

Decompilando l’eseguibile VB6 e visualizzando le informazioni del progetto originale otteniamo che l’entry-point è sul form Form1.frm (oltre ai nomi originali del progetto e dell’eseguibile).

Il file decompilato di Form1.frm è riportato di seguito:

Come si vede dai metadati ad inizio file, il form ha solo tre componenti che sono tutti dei timer, e solo Timer1 esegue del codice ad ogni tick (il timer ha una frequenza di 1000 Hz).

Il codice non è offuscato eccetto che per le stringhe, tuttavia il decompilatore non è sempre corretto ed è necessario interpretare i listati ottenuti. Inoltre, le variabili globali non sono sempre rilevate correttamente ma si tratta per lo più di costanti o di stati usati dalle singole funzioni che non impattano sulla comprensione generale della loro funzionalità (i valori delle costanti si possono ottenere ispezionando gli indirizzi con IDA).

Come anticipato, le stringhe sono offuscate e l’estratto sotto ne mostra un esempio:

Volendo riscrivere il codice generato dal compilatore, come nel caso di Proc_1_36_41DE10(Proc_1_39_41E570("0C2D0C2F1D303A", "TOBcDtUIYSExkwlEMnLCW")), non rimane che guardare cosa fanno queste due funzioni (riportate sotto per convenienza):

Sebbene il codice generato sembri non avere senso nei singoli statement, Proc_1_39_41E570 è facile da interpretare (complice anche il formato della stringa): si tratta di una funzione che converte una stringa esadecimale in una stringa di caratteri (non necessariamente stampabili).

L’utilità della procedura Proc_1_36_41DE10 è altrettando facilmente intuibile: si tratta di un rolling XOR (idiv è usata per calcolare il resto). L’unica vera accortezza è lo statement (senza senso ma importante) 0 = 0 + 00000001h. Dato che sembra non avere senso, è più comodo guardare il codice assembly:

esi è il contatore del ciclo che effettua il rolling XOR ed è inizializzato ad 1; più avanti ne viene fatto il modulo con la lunghezza della chiave XOR per ottenere l’indice all’interno di questa, ma la presenza dell’istruzione add edx, 00000001h fa sì che il l’indice inizi da 2 anzichè da 1 (senza direttive Option Base VB6 indicizza da 1). Il risultato finale è che il primo carattere della chiave XOR deve essere spostato in fondo a questa per poterla usare con un qualsiasi strumento per la decodifica XOR.

Ad esempio la chiave sopra TOBcDtUIYSExkwlEMnLCW diventa OBcDtUIYSExkwlEMnLCWT e questo può quindi essere usato con Cyberchef:

Per facilità di esposizione è bene precisare subito che BluStealer usa un’altra forma di offuscazione delle stringhe.
Un estratto di tale offuscazione e della funzione che decodifica le stringhe è mostrato sotto. Gli analisti più dubbiosi possono verificare con un debugger che si tratta di RC4 ma già dall’estratto si può intuire che siamo in presenza di questo cifrario (principalmente dalle dimensioni degli array).

Cyberchef può ancora una volta essere usato per verificare le ipotesi di analisi (la stringa decodificata è un indirizzo di un wallet di criptovalute, discusso più avanti):

Una volta individuato come decodificare le stringhe BluStealer non presenta più offuscazioni ed è possibile passare alla seconda fase di reverse, ovvero alla individuazione delle funzionalità delle varie procedure.

Si tratta di quasi 8.000 righe di codice VB6 per cui il lavoro risulta un po’ tedioso ma per fortuna l’abbiamo già fatto ed è possibile scaricare lo ZIP con il codice reversato (notare che non tutte le stringhe sono state reversate e alcune sono stato rimpiazzate direttamente con il valore deoffuscato).

Il codice reversato può essere usato come riferimento per la descrizione delle funzionalità di BluStealer.

Il ciclo principale

Il timer Timer1 è usato come ciclo principale del malware: scattando una volta ogni millisecondo permette a questo di eseguire azioni periodicamente.

Dal codice reversato è possibile intuire la struttura del ciclo principale di BluStealer:

Sono effettuate tre azioni:

• Non appena è premuto un tasto (anche del mouse) i dati di browser e di client di posta, VPN ed FTP sono esfiltrati e salvati dentro una cartella di lavoro (alcuni dati sono inviati immediatamente per email).
• Ogni secondo è controllata la presenza di questi file ed eventualmente sono inviati per email.
• Ogni millisecondo eventuali indirizzi di portafogli di cripto valute presenti nella clipboard sono rimpiazzati con indirizzi di portafogli del malware (vedi più avanti).

Il furto dei dati

Prima di rubare i dati dalle applicazioni delle vittime, BluStealer effetta un controllo antivm e antidebug (oltre a controllare che non vi siano altre istanze in esecuzione):

• Controlla che il nome del proprio eseguibile, una volta rimossa l’estensione, sia composto da soli caratteri esadecimali (Il controllo è fatto in CheckSelfName ma il codice decompilato ha perso gran parte dell’informazione necessaria: infatti viene utilizzato un array con i caratteri validi che è composto a runtime tramite constanti e delle stringhe offuscate e queste operazioni non sono decompilate correttamente).
• Controlla che non siano in esecuzione i seguenti processi: fiddler, vxstream, tcpview, procexp, vmtools, autoit, wireshark, procmon, idaq, autoruns, apatedns, windbg. Si tratta di strumenti di debug o monitoraggio. La lista dei processi è ottenuta tramite la query WMI Select * from Win32_Process.
• Controlla che la macchina disponga dei seguenti requisiti hardware: Almeno un disco da 60GiB, almeno 1GiB di memoria RAM e almeno 2 CPU.

Passati i controlli antidebug il malware crea una cartella in AppData (generata cifrando con RC4 il numero seriale del volume C:\ con password “microsoftcorporation” e convertendo in esadecimale il risultato) che fungerà da area di lavoro.

Viene determinato l’IP pubblico della macchina infetta facendo scraping di “http://showip.net” o, in alternativa, di “https://www.mediacollege.com/internet/utilities/show-ip.shtml”. L’IP è inviato insieme ai dati sottratti.

Se è installato uno o più dei seguenti portafogli di criptovalute, questi sono copiati dentro la cartella CryptoWallets nell’area di lavoro, cartella che e successivamente zippata in CryptoWallets.zip e che verrà inviata ai criminali via email (sia immediatamente che periodicamente dal ciclo principale). I portafogli interessati sono: Zcash, Armory, bytecoin, Jaxx Liberty, Exodus, Ethereum, Electrum, Atomic, Guarda, Coinomi.

Oltre ai portafogli, BluStealer è in grado di rubare le credenziali e le carte di credito salvate nei seguenti browser: Chrome, Opera, Yandex Browser, 360Chrome, Comodo Dragon, ChromePlus, Chromium, Torch, Brave Browser, Iridium, 7Star, Amigo, CentBrowser, Chedot, CocCoc, Elements Browser, Epic Privacy Browser, Kometa, Orbitium, Sputnik, Uran, Vivaldi, Sleipnir5, Citrio, Coowon, Liebao, QIP Surf, Edge, Firefox, Waterfox, K-Meleon, IceDragon, Cyberfox, BlackHawK, Pale Moon.

Dato che leggere le password dai browser richiede l’uso di SQLite, il malware verifica se un’installazione disponibile è presente sulla macchina, in caso di successo le password sono estratte direttamente dal codice VB6 (di cui un estratto è mostrato sotto) e accumulate in una stringa, altrimenti vengono usati due eseguibili zippati contenuti nelle risorse (descritti più avanti). Questi eseguibili salvano le credenziali rubate nel file %APPDATA%\Microsoft\Windows\Templates\credentials.txt il quale è in ogni caso letto dal codice VB6 e il cui contenuto aggiunto alla stringa delle credenziali (se la macchina ha SQLite il file è vuoto e la stringa di credenziali piena, se non c’è SQLite avviene il contrario, in ogni caso non ci sono duplicati).

Le credenziali sono poi inviate direttamente per e-mail agli autori della campagna.

Oltre ai browser sono vittime di BluStealer anche i seguenti programmi di posta: Outlook 2013+, Thunderbird, FoxMail ed i seguenti programmi di networking: CoreFTP, WinSCP, NordVPN.

Fatto interessante di BluStealer è che, qualora la vittima usi Thunderbird o 163Mail, può rubare anche il contenuto delle e-mail.

Come mostra il codice sotto, le e-mail sono salvate nell’area di lavoro nei file Messages.txt e 163MailMessages.txt.

Sempre da Thunderbird e 163Mail vengono sottratti anche i contatti della rubrica e salvati nei file Contacts.txt e 163Contacts.txt.

Questi file verranno inviati via email ai criminali.

Infine BluStealer si assicura la persistenza copiandosi nel file %APPDATA%\Microsoft\Windows\Templates\fireball.exe e aggiungendo nella consueta chiave RunOnce il percorso di questo.

Nel ciclo principale del malware sono presenti anche parti di codice usati per l’invio tramite email di file il cui nome contiene la parola Cookie e dell’archivio Files.zip (tutti dentro l’area di lavoro).

Non è chiaro se questo codice faccia riferimento a funzionalità non presenti o se queste siano sfuggite nel processo di reversing. Anche se il campione analizzato non fosse in grado di rubare cookie e file ritenuti interessanti, non è da escludersi che tali funzionalità siano presenti in altre campagne dello stesso malware (magari anche future o passate).

Il C2

BluStealer non ha un C2 ma invia i dati per email ad un indirizzo preconfigurato usando la funzione SendByEmail.

Nel caso di invio di file, questi sono allegati e successivamente rimossi.

Le e-mail inviate hanno nell’oggetto i seguenti prefissi:

Prefissi	Tipo di email
DC-CW, DC-CWs	Invia lo zip con i portafogli di criptovalute
DC-GR	Invia il file credentials.txt
DC-Creds	Invia le credenziali rubate ai browser (il che può corrispondere al contenuto di credentials.txt qualora il furto sia delegato agli eseguibili nelle risorse)
DC-FG	Invia lo zip Files.zip (non è chiaro come e se questo archivio sia generato)
DC-Cookies	Invia i file con i cookie rubati (non è chiaro come e se questi file siano generati)
DC-Messages	Invia i file con i messaggi e-mail rubati
DC-Contact	Invia i file con i contatti della rubrica rubati
DC-credentials	Invia il file credentials.txt (di nuovo)

Stadio 4 – Le risorse

Il codice che si occupa del furto delle credenziali dai browser dipende dalla presenza di SQLite nella macchina e inizia come mostrato sotto:

Questo codice, nel caso non sia stato rilevato SQLite nella macchina, salva uno dei due ZIP presenti nelle risorse in file.

Nel caso sia presente il framework .NET, viene salvato (in un file con nome casuale dentro %APPDATA%\Microsoft\Windows\Templates) lo ZIP che contiene fgfhgf.exe, altrimenti viene salvato quello che contiene ryyrhrttg.exe. L’archivio salvato è poi estratto e l’eseguibile in esso contenuto lanciato.

Il primo file, fgfhgf.exe, non fa altro che compilare del codice .NET (dopo che questo è stato leggermente modificato per alterare l’hash finale del binario) ed eseguirlo. Questo codice è usato per rubare le credenziali di alcuni programmi descritti sotto.

Il secondo file, ryyrhrttg.exe, è semplicemente il risultato di una delle possibili compilazioni descritte sopra. E’ usato nel caso non sia presente il compilatore C#.

Come appena anticipato, l’eseguibile BluStealer presenta nelle risorse due file eseguibili compressi in formato ZIP.

Si tratta di due file .NET denominati rispettivamente “fgfhgf.exe” e “ryyrhrttg.exe” che per fortuna non presentano alcuna forma di offuscazione.

Il codice di fgfhgf.exe

L’entry-point di questo file svela rapidamente il suo intento:

1. preleva il codice sorgente salvato nelle risorse
2. rimpiazza il nome del programma con una stringa casuale presa da una lista contenuta nelle risorse
3. compila il codice
4. lo salva nel file “credentials.exe” dentro “%temp%“

L’eseguibile ottenuto “credentials.exe” è identico al secondo file già presente nelle risorse “ryyrhrttg.exe”, al netto di qualche nome variabile sostituita con un numero casuale tra 1 e 15 prima della compilazione.

Il codice di ryyrhrttg.exe

Anche in questo caso la funzione “Main” descrive chiaramente le operazioni che dovranno essere eseguite.

La prima operazione compiuta è quella tentare di ottenere accesso ai dati dei prodotti Mozilla (come Firefox e Thunderbird). Se l’operazione va a buon fine colleziona nella variabile “datas” una lista con le seguenti informazioni:

• Url, Username, Passsword e Application

Successivamente, prova ad ottenere accesso alle informazioni custodite da WinSCP, se presente, incrementando i valori della nella variabile “datas”.

Infine, se rileva la presenza di “\\winsqlite3.dll” nella directory si sistema, tenta di recuperare le informazioni di 36 applicazioni tra browser e client di posta elettronica:

avendo cura di rilevare eventuali informazioni relative alle carte di credito:

Una volta collezionate tutte le informazioni nella variabile “datas” vengono scritte nel file “credentials.txt” pronte per essere lette dall’eseguibile VB6 descritto nello “Stadio 3” ed inoltrate via email.

I pagamenti fraudolenti con criptovalute

BluStealer esegue la seguente routine ogni millisecondo:

Lo scopo di questo codice è rilevare se nella clipboard sono presenti indirizzi di portafogli Bitcoin o Ethereum e in caso affermativo questi sono rimpiazzati con indirizzi appositi.

Il malware supporta differenti indirizzi, ognuno per l’opportuna versione di Bitcoin e per Ethereum. I portafogli usati dai criminali in questa campagna sono:

• 1AfFoww2ajt5g1YyrrfNYQfKJAjnRwVUsX
• bc1q6thr5zkd62l3mnsq6pxgvfd5t8zrk6juawnga3
• 1NrdpH1B13zwnvTxz7QbW6FoAeYUQkk3JU
• 0xCbCf3C0517d956BE6C10Aa019256545B63b0554E
• rMjmMfCzgyge3AGrsLBs58Y6rbCrF9fWXWu
• GCBBTGHEU6XS644V7563KEGDXPWVGHSBLTKXZGRHU2EZRPQ63XXGHB6T

Come avviene il pagamento fraudolento

Quando è necessario fare un pagamento in criptovalute si deve indicare l’indirizzo del portafoglio che riceverà il pagamento. Ma, come mostra la lista sopra, questi indirizzi consistono di una lunga sequenza di caratteri che non formano parole di senso compiuto (sono infatti dati binari generati deterministicamente da qualsiasi Key Material sia usato dalla criptovaluta e spesso sono hash della chiave pubblica) e di conseguenza è necessario copiarli quando si effetta un pagamento.

Quando una vittima di BluStealer copia un indirizzo a cui effettuare un pagamento, questo viene sostituito con un indirizzo sopra. Se ad esempio la vittima copia 1Ague393ishheuejjgh2922NH3guTJIEkm7 e poi va ad incollare quanto copia nel programma di pagamento, in realtà l’indirizzo inserito sarà 1AfFoww2ajt5g1YyrrfNYQfKJAjnRwVUsX e quindi il pagamento andrà a beneficio degli autori del malware.

Il malware supporta perfino diverse versioni di indirizzi Bitcoin in modo che il formato dell’indirizzo fraudolento risulti simile a quello originariamente copiato.

Questa tecnica non è certo nuova e generalmente non porta grossi guadagni poichè le transazioni in criptovalute sono relativamente rare. Tuttavia è semplice da implementare e occasianalmente la si trova in RAT ed infostealer.

Al momento ha fruttato poco meno di 1500$ agli autori di questa campagna.

DarkCloud

DarkCloud è un nome che compare spesso quando BluStealer formatta i dati rubati: in particolare compare la stringa “===============DARKCLOUD===============” e i prefissi negli oggetti delle e-mail sono DC.

Questo spiega il motivo per cui “BluStealer” oltre ad essere conosciuto come “a310logger” è identificato da molti con il nome di “DarkCloud”.

Indicatori di Compromissione

Gli IoC relativi a questa campagna sono stati già condivisi con le organizzazioni accreditate al flusso IoC del CERT-AgID.

Link: Download IoC