Selected news item is not available in the requested language.

Italian language proposed.

Close

27/10/2020
10:51

2020W43 Report settimanale= > 24-30/10 2K20 campagne MalSpam target Italia

Malware veicolati attraverso le campagne: Emotet, Ursnif, AgentTesla, Remcos, FormBook, LokiBot, Ave_Maria
       
week43

Report settimanale delle campagne italiane di malspam a cura del C.R.A.M. di TG Soft.

Di seguito i dettagli delle campagne diffuse in modo massivo nella settimana appena trascorsa dal 24 ottobre al 30 ottobre 2020: Emotet, Ursnif, AgentTesla, Remcos, FormBook, LokiBot, Ave_Maria

INDICE

==> 26 ottobre 2020 => Emotet (8), Ave_Maria (1), FormBook (1)

==> 27 ottobre 2020 => Emotet (7), Ave_Maria (1), Ursnif (1)

==> 28 ottobre 2020 => Emotet (7), Remcos (2), AgentTesla (1), Lokibot (1)

==> 29 ottobre 2020 => Emotet (5), AgentTesla (1), Lokibot (1), FormBook (2)

==> 30 ottobre 2020 => Emotet (7), Ave_Maria (1), FormBook (1)
             
==> Consulta le campagne del mese di Settembre/Ottobre

Nella settimana corrente vi è stato un incremento delle campagne totali.
Presente il malware Emotet, una sola campagna del trojan banker "Ursnif" assenza invece per l'attore Hagga, ma costante invio di malspam per la diffusione di vari PasswordStealer.

La barra di colore blu indica il numero totale di campagne monitorate in Italia in ogni settimana, invece quella di colore rosso riguardano le campagne scritte in italiano (con target Italia).
In questa settimana sono state 175 le campagne che abbiamo monitorato, di cui 48 sono scritte in lingua italiana.



Per poter capire come sono suddivise le varie settimane (Week) di seguito una piccola tabella che indica la suddivsione dei periodi presi in considerazione:

Settimana
 dal al
Week_40 03/10 09/10
Week_41 10/10 16/10
Week_42 17/10 23/10
Week_43 24/10 30/10


Nella settimana corrente il picco totale delle campagne è stato martedì 27 con 43 campagne. Mercoledì 28 ottobre è stato il picco delle campagne rivolte ad utenza italiana con 11 campagne, come è evidenziato dal grafico riportato di seguito:




La grande maggioranza dei sample eseguibili che ha caratterizzato questa settimana è stata sviluppata in MSIL (C#) e copre il 56 % dei malware inviati via mail, seguito con il 9,14 % di sample Delphi.
Il 24,57 % dei sample distribuiti sono documenti di Office (Word, Excel, PowerPoint), che scaricano altri malware.
Nella figura sottostante possiamo vedere le varie tipologie di linguaggio con cui vengono sviluppati i malware.


Nel seguente grafico vediamo la distribuzione delle varie tipologie di linguaggio divise per giorno:


*Nella categoria JAR sono compresi i file JNLP

EMOTET


Durante la settimana monitorata le campagne malspam di Emotet sono state veicolate da lunedì 26 fino a venerdì 30 ottobre.

Riportiamo sotto un esempio di mail attraverso la quale viene diffusa la campagna malspam di Emotet: in questo caso l'email contiene un link ad un sito malevolo che se cliccato porta al download di un file DOC che una volta aperto tramite una MACRO scarica il payload del malware Emotet.


Abbiamo raggruppato i DOC e domini delle varie campagne che hanno colpito gli utenti italiani. Le campagne Emotet per il loro conteggio non sono state determinate in base all'HASH del documento Word ma bensì raggruppate in cluster in base ai domini di download contenuti nella macro. Se calcolate in base al solo HASH il numero delle campagne sarebbe risultato molto più elevato.

In seguito vediamo un grafico del numero di HASH univoci degli allegati DOC monitorati nell'arco della settimana:


Scarica il file di testo degli IOC delle campagne Emotet.

 

26 ottobre 2020

Emotet

Vedi il paragrafo principale sul malware Emotet all'inizio. 

 

Ave_Maria

 
 
Ordine R20-T4077, pdf.exe
MD5: 35EAD972B5619F506B5771357F738C18
Dimensione: 750256 Bytes
VirIT: Trojan.Win32.PSWStealer.CNI
All'interno dell'archivio compresso "Ordine R20-T4077, pdf.iso" è presente il file "Ordine R20-T4077, pdf.exe" infetto dal password stealer Ave_Maria.
 
IOC:
35EAD972B5619F506B5771357F738C18
graceland777.ddns[.]net => 185.140.53[.]129

FormBook

 
 
5244606847.exe
MD5: 5E42805DDE927E033E816A2EF5A489BA
Dimensione: 1164800 Bytes
VirIT: Trojan.Win32.PSWStealer.CNI

All'interno dell'archivio compresso "524460684.7z" è presente il file "524460684.exe" infetto dal password stealer FormBook.

IOC:
5E42805DDE927E033E816A2EF5A489BA
celebritymediameditations[.]net
azfamilyadventures[.]com
flaminginc[.]com
mzn[.]xyz


Torna ad inizio pagina

27 ottobre 2020

Emotet

Vedi il paragrafo principale sul malware Emotet all'inizio. 


Ave_Maria

 
 
Ordine R20 T40567, pdf.exe
MD5: 93E962F3C77383ADA03169B14273FC62
Dimensione: 691888 Bytes
VirIT: Trojan.Win32.PSWStealer.CNK

IOC:
93E962F3C77383ADA03169B14273FC62
graceland777.ddns[.]net => 185.140.53[.]129
 

Ursnif

 
583441305572.xls
MD5: 02D3A5CF4FAD74F2616E24C478A4FFDF
Dimensione: 55296 Bytes
VirIT: X97M.Ursnif.CNK
[PAYLOAD URSNIF]
MD5: D800D8DB5CB2ECC22899DCF7E1C2430D
Dimensione: 360448 Bytes
VirIT: Trojan.Win32.Ursnif.CNK
Versione: 250161
Gruppo: 4343
Key: 21291029JSJUXMPP
 

Aprendo il file excel "583441305572.xls" possiamo vedere che si tratta di una finta fattura Enel da pagare, una volta avviata la macro scarica il malware Ursnif dal sito santaliny[.]org e provvede ad eseguire il payload.
Il malware Ursnif si collega al Server di Comando & Controllo: willeam[.]net


IOC:
02D3A5CF4FAD74F2616E24C478A4FFDF
D800D8DB5CB2ECC22899DCF7E1C2430D
santaliny[.]org
willeam[.]net
 
 

28 ottobre 2020

Emotet

Vedi il paragrafo principale sul malware Emotet all'inizio.

Remcos

 
 
Documentos_ordine.exe
MD5: 35CE259555CC41682B889C0E6B289946
Dimensione: 1040544 Bytes
VirIT: Trojan.Win32.PSWStealer.CNM
All'interno dell'archivio compresso "Documentos_ordine.rar" è presente il file "Documentos_ordine.exe" infetto dal password stealer Remcos.

IOC:
35CE259555CC41682B889C0E6B289946
graceland777.ddns[.]net => 185.140.53[.]129

AgentTesla

 
 
Contratto20201028-IT005IT009.042.exe
MD5: 434AE841AAE22C2F3CC226E73373583D
Dimensione: 563712 Bytes
VirIT: Trojan.Win32.PSWStealer.CNM
All'interno dell'archivio compresso "Contratto20201028-IT005IT009.042.7z" è presente il file "Contratto20201028-IT005IT009.042.exe" infetto dal password stealer AgentTesla
Ruba le credenziali memorizzate attraverso i seguenti software:
  • Opera
  • SmartFTP
  • Chrome
  • UCBrowser
  • Firefox
  • Icecat
  • FileZilla
  • Waterfox
  • Postbox
  • BlackHawk
  • CoreFTP
  • IceDragon
  • FTP Navigator
  • Pale Moon
  • Cyberfox
  • Falkon
  • Thunderbird
  • Flock
  • K-Meleon
  • SeaMonkey
  • IncrediMail
  • Outlook

La mail con le credenziali rubate viene inviata attraverso il server FTP: Pure-FTPd  -> 192.185.52[.]193 Porta: 21
La mail a cui vengono inviati i dati: <NOT DISCLOSED>@st05[.]net
 

IOC:
434AE841AAE22C2F3CC226E73373583D
 

Remcos


 
 
ORDINE #BV393835,pdf.exe
MD5: 3EF5205F1E991FC07F301FE0D7606D63
Dimensione: 1713328 Bytes
VirIT: Trojan.Win32.PSWStealer.CNM

All'interno dell'archivio compresso "ORDINE #BV393835,pdf.rar" è presente il file "ORDINE #BV393835,pdf.exe" infetto dal password stealer Remcos.

IOC:
3EF5205F1E991FC07F301FE0D7606D63
uzbektourism8739.ddns[.]net => 185.140.53[.]129

LokiBot

 
 
DSV Invoice n_ordine 30242498_PDF.exe
MD5: 3B4D9A20E9669E2DA99422CDAE1C4E5B
Dimensione: 781312 Bytes
VirIT: Trojan.Win32.PSWStealer.CNN
All'interno dell'archivio compresso "DSV Invoice n_ordine 30242498_PDF.iso" è presente il file "DSV Invoice n_ordine 30242498_PDF.exe" infetto dal password stealer LokiBot.
Ruba le credenziali memorizzate attraverso i seguenti software:
  • Opera
  • SmartFTP
  • Chrome
  • UCBrowser
  • Firefox
  • Icecat
  • FileZilla
  • Waterfox
  • Postbox
  • BlackHawk
  • CoreFTP
  • IceDragon
  • FTP Navigator
  • Pale Moon
  • Cyberfox
  • Falkon
  • Thunderbird
  • Flock
  • K-Meleon
  • SeaMonkey
  • IncrediMail
  • Outlook
  • FlashFXP
  • FreshFTP
  • FTPGetter
  • FTP Navigator
  • DeluxeFTP
  • GoFTP
  • JaSFtp
  • NetDrive
  • NovaFTP
  • NppFTP
  • Odin Secure FTP
  • SecureFX
  • SftpNetDrive
  • Staff-FTP
  • SuperPutty
  • UltraFXP
  • NetSarang

IOC:
3B4D9A20E9669E2DA99422CDAE1C4E5B
pkuz[.]xyz

29 ottobre 2020

Emotet

Vedi il paragrafo principale sul malware Emotet all'inizio. 

AgentTesla

 
 
ORDINE N°200040300922.exe
MD5: DFCAC25A771A6AEC02F80981D3937567
Dimensione: 545792 Bytes
VirIT: Trojan.Win32.PSWStealer.CNM
All'interno dell'archivio compresso "ORDINE N°200040300922.7z" è presente il file "ORDINE N°200040300922.7z.exe" infetto dal password stealer AgentTesla
Ruba le credenziali memorizzate attraverso i seguenti software:
  • Opera
  • SmartFTP
  • Chrome
  • UCBrowser
  • Firefox
  • Icecat
  • FileZilla
  • Waterfox
  • Postbox
  • BlackHawk
  • CoreFTP
  • IceDragon
  • FTP Navigator
  • Pale Moon
  • Cyberfox
  • Falkon
  • Thunderbird
  • Flock
  • K-Meleon
  • SeaMonkey
  • IncrediMail
  • Outlook

La mail con le credenziali rubate viene inviata attraverso il server FTP: iva4-bca95d3b11b1.qloud-c.yandex[.]net  -> 77.88.21[.]158 Porta: 587
La mail a cui vengono inviati i dati: <NOT DISCLOSED>@yandex[.]com
 

IOC:
DFCAC25A771A6AEC02F80981D3937567

LokiBot

 
 
Informazioni_sull'ordine,doc.exe
MD5: C9D1558FF16405719E6159E01C7CB911
Dimensione: 802304 Bytes
VirIT: Trojan.Win32.PSWStealer.CNP
All'interno dell'archivio compresso "DSV Invoice n_ordine 30242498_PDF.iso" è presente il file "DSV Invoice n_ordine 30242498_PDF.exe" infetto dal password stealer LokiBot.
Ruba le credenziali memorizzate attraverso i seguenti software:
  • Opera
  • SmartFTP
  • Chrome
  • UCBrowser
  • Firefox
  • Icecat
  • FileZilla
  • Waterfox
  • Postbox
  • BlackHawk
  • CoreFTP
  • IceDragon
  • FTP Navigator
  • Pale Moon
  • Cyberfox
  • Falkon
  • Thunderbird
  • Flock
  • K-Meleon
  • SeaMonkey
  • IncrediMail
  • Outlook
  • FlashFXP
  • FreshFTP
  • FTPGetter
  • FTP Navigator
  • DeluxeFTP
  • GoFTP
  • JaSFtp
  • NetDrive
  • NovaFTP
  • NppFTP
  • Odin Secure FTP
  • SecureFX
  • SftpNetDrive
  • Staff-FTP
  • SuperPutty
  • UltraFXP
  • NetSarang

IOC:
C9D1558FF16405719E6159E01C7CB911
oct23[.]xyz


FormBook

 
 
Ordine PO 1312241007.exe
MD5: AB768635BC6C4711E348EEBB1E881757
Dimensione: 1091128 Bytes
VirIT: Trojan.Win32.PSWStealer.CNP

All'interno dell'archivio compresso "DOC_131224100.7z" è presente il file "Ordine PO 1312241007.exe" infetto dal password stealer FormBook.

IOC:
AB768635BC6C4711E348EEBB1E881757
pawpatrolbyronbay[.]com
comscholars[.]com
evangelogasos[.]art
foundyourstuff[.]info
cloudenergyecosystems[.]com

FormBook

 
 
8ED4D900D86A08F5B8372AC040589935I.exe
MD5: 0ED632CA837FC68C85C6BB16651AF7A0
Dimensione: 2230480 Bytes
VirIT: Trojan.Win32.KillProc.CJKW

All'interno dell'archivio compresso "8ED4D900D86A08F5B8372AC040589935I.7z" è presente il file "8ED4D900D86A08F5B8372AC040589935I.exe" infetto dal password stealer FormBook.

IOC:
0ED632CA837FC68C85C6BB16651AF7A0
banqutstaff[.]com
abingtonns[.]com

30 ottobre 2020

Emotet

Vedi il paragrafo principale sul malware Emotet all'inizio. 

Ave_Maria

 
 
HSBCIT0419.exe
MD5: 0E64AE0E43DABAE0BB7316413EE8DCA0
Dimensione: 27048 Bytes
VirIT: Trojan.Win32.Avemaria.CNR
All'interno dell'archivio compresso "HSBCIT0419.iso" è presente il file "HSBCIT0419.exe" infetto dal password stealer Ave_Maria.
 
IOC:
0E64AE0E43DABAE0BB7316413EE8DCA0
efiigbo9.duckdns[.]org - 185.140.53[.]130

FormBook

 
 
Bonifico n.1101202910070714.exe
MD5: 4C440FBCFE122628CFC4EBB6ED52CE44
Dimensione: 408120 Bytes
VirIT: Trojan.Win32.FormBook.CNR

All'interno dell'archivio compresso "Bonifico n.1101202910070714.7z" è presente il file "Bonifico n.1101202910070714.exe" infetto dal password stealer FormBook.

IOC:
4C440FBCFE122628CFC4EBB6ED52CE44
cliquelan[.]com
myrevolutionary[.]com
jpcoetzee[.]email
melodichat[.]xyz
yesonbforcolorado[.]com
bankidcasinos[.]com
 

Consulta le campagne del mese di Settembre/Ottobre

Vi invitiamo a consultare i report del mese di Settembre/Ottobre, per rimanere aggiornati sulle campagne di malspam circolanti in Italia:
17/10/2020 = Report settimanale delle campagne italiane di Malspam dal 17 ottobre al 23 ottobre 2020
10/10/2020 = Report settimanale delle campagne italiane di Malspam dal 10 ottobre al 16 ottobre 2020
03/10/2020 = Report settimanale delle campagne italiane di MalSpam dal 03 ottobre al 09 ottobre 2020
26/09/2020 = Report settimanale delle campagne italiane di MalSpam dal 26 settembre al 02 ottobre 2020

C.R.A.M. 
Centro Ricerche Anti-Malware di TG Soft 
Any information published on our site may be used and published on other websites, blogs, forums, facebook and/or in any other form both in paper and electronic form as long as the source is always and in any case cited explicitly “Source: CRAM by TG Soft www.tgsoft.it” with a clickable link to the original information and / or web page from which textual content, ideas and / or images have been extrapolated.
It will be appreciated in case of use of the information of C.R.A.M. by TG Soft www.tgsoft.it in the report of summary articles the following acknowledgment/thanks “Thanks to Anti-Malware Research Center C.R.A.M. by TG Soft of which we point out the direct link to the original information: [direct clickable link]”

Vir.IT eXplorer PRO is certified by the biggest international organisation: