Ursnif reloaded: siguiendo las últimas campañas del troyano – ReaQta

El 9 de Octubre nuestros clientes empezaron a notificar el mismo tipo de incidente en un periodo de pocas horas. La actividad identificada parecía estar relacionada con el Troyano bancario Ursnif, un malware largamente activo, cuyas raíces nos llevan hasta 2007 junto con Zeus y SpyEye, pero aún con importantes capacidades de infección en cada una de sus campañas. El vector de ataque era un email malicioso con un documento de Word adjunto.

Tras las notificaciones iniciales, nuestro equipo de Inteligencia de Amenazas inició una investigación en profundidad para entender la relación con campañas previas que ya habíamos estado monitorizando durante el segundo semestre del año.

Primera Evaluación

Aunque no podemos confirmar que la campaña esté centrada en un área geográfica concreta, nos dimos cuenta de que la mayor parte de los archivos analizados estaban dirigidos a italoparlantes, una señal que sugiere que Italia está bajo el radar de los atacantes. Además de Italia, ReaQta ha identificado también localizaciones de descarga de malware en Rusia, Ucrania, Países Bajos y Estados Unidos. El análisis se centrará en las amenazas recibidas por nuestro cliente italiano al comienzo del ataque.

Estrategia de infección de Ursnif

El archivo DOC que forma parte de esta campaña Ursnif pide al usuario habilitar las macros porque ”el documento fue creado con una versión previa de Microsoft Office Word”. La macro se ejecuta cuando se abre el documento si estas están habilitadas, en caso contrario el código malicioso se ejecutará al pulsar el botón de “habilitar contenido”.

La macro de MS Word ejecuta una línea de comando invocando powershell con el parámetro -ec, usado para decodificar las instrucciones para iniciar la descarga del payload ( wync6.xap). La siguiente imagen muestra claramente la cadena de procesos que sigue a la ejecución de la macro del documento de MS Word:

En esta campaña específica de Ursnif, el payload se genera usando una secuencia de números incrementales de 1 a 7 (p.e.: wync1; wync5; wync7) con la extensión “.xap”.

Después de que Ursnif ejecute cmd.exe, podemos ver su actividad en el árbol de comportamiento que muestra ReaQta-Hive:

Cmd.exe lanza powershell.exe (análisis en ventana #1), que deposita y ejecuta un ejectuable (análisis en ventanas #2 y #3), que es el payload final: Ursnif. Lo más interesante del comportamiento empieza una vez que se ejecuta el payload final, cuando crea una clave de registro donde se almacenan los siguientes pasos de la infección.

Tras crear la clave de registro, Ursnif inicia un proceso mediante el comando almacenado en el valor “dhcpport”:

`C:\\Windows\\system32\\wbem\\wmic.exe /output:clipboard process call create \»powershell -w hidden iex([System.Text.Encoding]::ASCII.GetString((get-itemproperty ‘HKCU:\\Software\\AppDataLow\\Software\\Microsoft\\B53CC69F-9026-AF48-42B9-C45396FD3837’).bthppast))`

Podemos reconstruir la secuencia completa en la siguiente copia de pantalla:

El comando ejecuta un powershell que lee y ejecuta, mediante invoke-expression, el contenido del valor “bthppast” (análisis en ventana #1):

Los datos corresponden a un script PowerShell ejecutado directamente en memoria. Sin ir más allá, el ataque sin archisos inyecta código en Explorer (análisis en ventana #2) tras sleccionar un archivo .dll apto para la arquitectura del sistema, cuyos valores pueden ser “Client32” o ”Client64”.

Tras la inyección, el código malicioso en explorar.exe intenta conectarse con el C2 (análisis en ventana #7).

Infraestructura C2

En todos los servidores analizados hemos detectado los mismos patrones y estructuras de archivos. La base de directorios parece ser común a toda la campaña. También hay 3 subdirectorios empleados para recolectar información estadística como:

• Malware descargado por víctimas potenciales
• Dirección IP de las víctimas
• Países de las víctimas
• Direcciones IP bloqueadas
• Bots HID
• Versión de Bot
• Tiempo de actividad

El directorio raíz es personalizable a nivel de crimeware y en el pasado hemos encontrado campañas de Ursnif con la misma estructura de archivos bajo distintos nombres de directorio, por ejemplo: “TOL”, “TYJ”, “YUY”, “MXE”, etc. Parece que el nombre del directorio raíz no se reutiliza en diferentes campañas y mantienen su uso por periodos limitados de tiempo.

Los nombres asignados al direcorio raíz de los servidores de distribución parece estar íntimamente relacionado con cada campaña de ataques. La siguiente lista, recopilada desde Agosto de 2018 hasta hoy, muestra las múltiples campañas monitorizadas con sus respectivos nombres.

• “WES” del 5 de Noviembre hasta hoy.
• “TJY” del 29 de Octubre al 5 de Noviembre.
• “RUI” del 16 al 28 de Octubre.
• “TNT” del 22 de Agosto al 11 de Octubre.
• “TOL” del 1 al 6 de Octubre.
• “MXE” del 24 de Septiembre al 1 de Octubre.
• “VRE” del 20 al 21 de Septiembre.
• “DAB” del 17 al 21 de Septiembre.
• “XOE” del 13 al 14 de Septiembre.
• “RTT” del 6 al 12 de Septiembre.
• “YUY” del 24 de Agosto al 6 de Septiembre.
• “TST” del 20 al 22 de Agosto.
• “FLUX” del 13 al 15 de Agosto.

La configuración del ejecutable de Ursnif, en la siguiente imagen, muestra información como: versión del bot, ID del grupo de la botnet, datos del DGA (Domain Generation Algorithm), C2, etc.

El payload se descarga y ejecuta automáticamente para, justo después, establecer conexión con uno de las direcciones embebidas (hardcoded) del C&C. Como parte del proceso de exfiltración de datos, se descargan archivos .avi (con nombres de archivo aleatorios) de una dirección embebida en el código de forma que la URL contiene información codificada relacionada con el objetivo.

La gestión de este C&C corresponde al conocido crimeware empleado por la banda original de Ursnif, cuyo login puede encontrarse en “wifilhonle.com/auth/login”:

Ursnif monitoriza los objetivos infectados con éxito desde la sección “clientes” de su panel. La pagina muestra información estadística relacionada con la computadora de la víctima, entre la que podemos encontrar: la dirección IP y el país donde se encuentra el equipo infectado, información y versión del troyano.

Distribución de Ursnif

Tal y como mencionamos al principio, los C2 se concentran en Ucrania, Rusia, Países Bajos, Estados Unidos e Italia.

Los siguientes gráficos muestran estadísticas sobre la tasa de descargas de muestras únicas por hora desde los servidores de hosting en base a los análisis realizados entre el 7 y el 12 de Noviembre de 2018 y se basa en un total de 162.493 muestras distribuidas desde los servidores maliciosos. También es interesante destacar el hecho de que cada muestra individual descargada se auto-parchea antes del envío, de esta forma el binario siempre tiene un hash único: posiblemente se trate de una técnica de evasión para esquivar los sistemas basados en IOCs que sólo cuenten con indicadores de hash.

Conclusiones

Sin ninguna duda, el troyano Ursnif continúa siendo una de las amenazas más activas hoy en día. La combinación de lolbins y ataques sin-fichero (file-less attacks) lo hace difícil de detectar y ayuda a Ursnif a pasar bajo el radar de los Antivirus más fácilmente.

Ursnif es un buen ejemplo de por qué el análisis de comportamiento conducido por Inteligencia Artificial juega un papel fundamental en la detección proactiva de este tipo de amenazas, donde una respuesta tardía implica la pérdida de información importante para una organización.

Con ReaQta-Hive ayudamos a nuestros clientes a detectar nuevas amenazas e incluso sus variantes, reconstruyendo información sobre sus comportamientos y los factores de riesgo asociados, capacitándoles para detectar, alertar y detener rápidamente cualquier potencial amenaza antes de que el daño esté hecho.

IOCS