EMOTET
Nella settimana appena trascorsa, è ripreso l'invio massivo delle mail di MalSpam per la diffusione del malware Emotet.
Le email di Malspam contengono all'interno un allegato Excel oppure un file ZIP con password che contiene a sua volta un file di Excel.
Di seguito vediamo il numero di hash univoci di allegati monitorati nei vari giorni della settimana:
Nel successivo grafico vediamo il numero di email di Malspam di
Emotet analizzate nei vari giorni della settimana:
Analizzando la
TOP 10 dei Real Sender del primo giorno (02/11) della ripresa dell'invio di malspam, possiamo vedere che il
Brasile,
Giappone e l'
Italia sono stati i paesi maggiormente colpiti:
Nei computer infettati da
Emotet è stato droppato il malware
IcedID attraverso il
Loader Anubis.
Il primo Loader di
IcedID è stato droppato il 03/11 alle ~21:00 CET con hash F4239E545B7E85527BABCF8CB130DF6F
Il secondo Loader di
IcedID è stato droppato il 04/11 alle ~16:00 CET con hash 45FE1342304237C4AD62DF5F861B5A16
Il Loader di
IcedID scarica il payload finale di
IcedID dal sito
https[:]//bayernbadabum.]com/botpack.dat e contatta i
C2:
- s://newscommercde.]com/users/1139942657/35<redacted>
- s://spkdeutshnewsupp.]com/news/1/255/0
per inviare le informazioni della macchina della vittima.
La
Botnet id è:
1139942657
La DLL finale di IcedID è salvata in %appdata%\<user>\<random>.dll oppure in %localappdata%\<random folder>\<random>.dll (hash EB4D93C4C9A363491875E34AA8FD37F8)
La persistenza è ottenuta attraverso i Task di Windows.
In seguito le immagini dei dump del Loader di
IcedID:
Scopri se sei target di Emotet!
