Dridex v4

[leo_sosnine]

Погонял в сэндбоксе, у них теперь всё по-другому, моя прошлогодняя статья для целей детекции щас вполне бесполезна.

Что-то они улучшили, а что-то ухудшили. Неохота описывать детально.

Но вцелом вполне качественная работа, уважайу, традиционные антивирусы вполне бесполезны. Некст джен типа краудстрайка и файрай должны ловить, но у нас их нет. Будет вскоре пилот Файрай ХэИкс, там посмотрим. Но общий уровень скрытности будет поменьше чем у ковтера и poweliks.

Напейсал скриптик и затолкал в СЦЦМ, жду отчёта. Грубо говоря, проверяю, если родитель svchost.exe не services.exe то non-compliant. Всё остальное compliant. Можно было ещё по много чему проверять: svchost.exe выполняетяся в консольной сессии (не должен), выполняется с уровнем интегрити медиум (должен хай) и т.п. мелочи.

Распространяется, судя по всему, только через малспам. Т.е. предотвращение -- не надо запускать непонятные файлы, но т.к. юзеры идиоты, то в достаточно большом их количестве цель эта недостижима

Полезные ссылки:

https://securityintelligence.com/dridexs-cold-war-enter-atombombing/
http://blogs.quickheal.com/report-the-dridex-trojan-is-back/
https://www.hybrid-analysis.com/sample/ffcd75cbd62ffef8cc199af4ccc57655c03083865323d0d69c5b8a6ae29c998d?environmentId=100

PS козлячий виндовс дефендер иногда запускает свцхост.ехе из под себя, что продуцирует фалс позитивы, переделываю скрипт на дополнительное условие проверки сессионид, если 0 то норм, а если 1 (юзерская консольная сессия) то драйдекс

Comments

[kranov]

>но т.к. юзеры идиоты
на предыдущей работе (в банке), мы для эксченджа (точнее для антивируса присобаченного к эксченджу) написали простеший фильтр и это решило проблему.
Типа если письмо содержит аттач и тип (не расширение, а именно проверяли тип (выдрали фингерпринты из исходников file)) этого атача не из белого списка (jpg, png, txt), то письмо идет в карантин админу, архивы рекурсивно распаковывали, если файл большой (распаковать невозможно) или запароленный, тоже в карантин, юзеру писали, что мил человек тебе письмо пришло от васи но у нас подозрения, поэтому обращайся к админу если че.
Со временем белый список пополнился, типа такие-то перцы регулярно получают файлы в .db (и это dbf) с такого-то адреса, и в карантин попадали только реальные 0day пропущенные антивирусом.

[https://openid-provider.appspot.com/eto.totje]

А они еще могут почту получать и на всякие gmailы. И оттуда открывать.

[kranov]

если есть интернет то все проще, то буху присылают письмо: марь иванна, вот платежка я забыла вчера, и ссылка с редиректом через сокращатель, кликаешь и привет, ты поунед через pdf/

[leo_sosnine]

Это все делают, но:

1. Держу пари, что вы не останавливали .doc и .pdf файлы, а продвинутая малварь рассылается именно через макросы в них

2. Это не помогает против доступа к персональным имейлам (гуглопочта и т.п.) сотрудниками на работе

3. Не очень актуально, но, хороший спеарфишинг уровня АПТ использует картинки, в прошлом были обнаружены РЦЕ в функциях осуществляющих рендеринг картинки в аутлуке, т.е. просто просмотр специально закрафченной картинки позволяет выполнить произвольный код

[kranov]

1. адоб ридера не было ни кого, только foxit (его меньше хакают).

2. да интернет это проблема, поэтому его тоже не было.
Если есть интернет у всех и неогранниченный, то юзеры также бездумно будут кликать на ссылки в письмах и заражаться через просмотр pdf в браузере. Только фашизм поможет. Личные планшеты, телефоны + гест вайфай, rdp киоски и просто киоски.

3. это редкость, и микрософт все-таки закрывает эти дыры, а тупость с запуском батника запускающего dll через rundll это как-бы и не дыра.

[leo_sosnine]

1. Это не всегда имеет значение, т.к. в пдф может быть засунут докм или другой типовой файл, в котором макросы

2. Это да, сурово у вас там было

3. Но бывает

[cjelli]

Когда я в банке работал, там тоже интернета не было- по крайней мере в отделе торговли форексом, куда я был приписан. Был один компьютер, на котором специальный админ имел право выжигать диски с необходимой информацией (мне нужен был, как-то, например, архив CPAN). Все.