QakBot distribuert AV XLSB files

Sammendrag

Hornetsecurity Security Lab har oppdaget bruk AV XLM-makroer i xlsb-dokumenter for å distribuere qakbot-skadelig programvare. Fordi BÅDE XLM-makroer samt xlsb-dokumentformatet er uvanlig, har disse nye ondsinnede dokumentene en svært lav statisk deteksjonsrate av dagens antivirusløsninger.

Bakgrunn

QakBot (også kjent Som QBot, QuakBot, Pinkslipbot) har eksistert siden 2008. Den distribueres Via Emotet, dvs., Emotet vil laste Ned QakBot loader på ofre som allerede er infisert Med Emotet. Men det distribueres også direkte via e-post. Til dette formål bruker den e-post samtaletråd kapring i sine kampanjer1, det vil si at den vil svare på e-postmeldinger som den finner i offerets postkasser. QakBot er kjent for å eskalere inntrenging ved å laste Ned ProLock ransomware2.

følgende tidslinje viser nylige hendelser knyttet Til QakBot:

Qakbots infeksjonskjede er som følger:

QakBot har brukt XLM-makroer (også kjent som Excel 4-makroer) for stille en gang.

Teknisk Analyse

på 2020-10-15 rundt 12: 40 UTC ble det observert en malspam-kampanje som distribuerte QakBot ved HJELP AV xlsb-dokumenter.

XLSB ER En Binær Arbeidsbokfil I Excel. Hovedbruken er å gjøre lesing fra og skrevet til filen mye raskere og redusere størrelsen på svært store regneark. Men med dagens datakraft og lagringstilgjengelighet ble behovet for dette binære formatet redusert, og i dag brukes de sjelden.

Kombinere dette med de gamle OG dermed ikke veldig godt oppdagede XLM-makroene, gjør at de nåværende dokumentene ikke blir gjenkjent av NOEN av oppført på VirusTotal:

også vanlige dokument malware analyseverktøy som OLEVBA ikke gjenkjenner XLM makroer I xlsb format:

selv om støtte FOR XLM-makroer i xlsb-filer er PÅ OLEVBAS veikart3.

selv verktøyet XLMMacroDeobfuscator (spesialisert på å analysere ondsinnede xlm-makroer), som støtter XLSB-formatet4, har problemer Med Qakbots XLSB-fil:

Men som vanlig feilen I XLMMacroDeobfuscator ble raskt jobbet på5.

QakBot XLSB-filene leveres via den klassiske qakbot-e-postsamtaletråden kapring 1 i en vedlagt ZIP-fil:

ZIP-filen inneholder xlsb dokumentet, som når den åpnes later til å være en kryptert Av DocuSign og brukeren må «Aktivere Redigering» og «Aktiver Innhold» for å dekryptere den:

når brukeren gjør det en Auto_Open XLM makro i dokumentet er lansert, som vil laste Ned QakBot loader:

NETTADRESSEN er montert via xlm-makroen og later til å laste ned EN PNG-fil:

I virkeligheten PNG-filen Er QakBot loader kjørbar. Hornetsecurity har tidligere rapportert Om QakBot loader og følge opp malware som ProLock ransomware2.

Konklusjon Og Mottiltak

Som reemergence av de gamle OG i dag mindre vanlige XLM-makroer som brukes av ondsinnede aktører, fører bruken av de uvanlige xlsb-dokumentene igjen til lavere gjenkjenningshastigheter av sikkerhetsløsninger, som for det meste er fokusert på den mer vanlige moderne vba-makroprogramvaren.

Hornetsecurity ‘ s raske responstid på nye nye trusler og zero-day malware protection gir imidlertid sine kunder et robust skjold mot aldri tidligere sett malspam-kampanjer og nye angrepstyper. Brukere Av Hornetsecurity Spam Og Malware Beskyttelse er beskyttet mot QakBot XLSB dokumentet.

• 1 https://www.hornetsecurity.com/en/security-information/email-conversation-thread-hijacking/
• 2 https://www.hornetsecurity.com/en/security-information/qakbot-malspam-leading-to-prolock/
• 3 https://twitter.com/decalage2/status/1265031224130777091
• 4 https://twitter.com/DissectMalware/status/1253496637735010304
• 5 https://twitter.com/DissectMalware/status/1317939590720819201

Indicators of Compromise (IOCs)

Hashes

URLs

• hxxp//thomastongralestatecom/skywkc/3415201.png

DNSs

• thomastongralestatecom

MITRE ATT&CK

MITRE ATT&CK Tactics and Techniques used by QakBot: