Prima di elencare la cronologia di EyePyramid, ci sentiamo di fare una precisazioni su un tool di identificazione di EyePyramid.

Da alcuni giorni sta circolando in rete uno script per verificare la presenza del malware EyePyramid.
Questo script va a verificare se la chiave di registro:

[HKEY_LOCAL_MACHINE\Software\AfterLogic\MailBee.NET Objects\MailBee.Global.LicenseKey]

contiene i serial number delle licenze d'uso di MailBee utilizzate da EyePyramid.

Niente di male, peccato che EyePyramid non scriva il serial number della licenza di MailBee sul registro.
Il serial number è già inglobato nel codice malevole e viene utilizzato direttamente per chiamare le API delle libreria di MailBee. Quindi lo script di identificazione non serve a niente.

In base alle nostre verifiche abbiamo individuato 78 varianti di EyePyramid, questa non vuole essere una lista completa delle release di questo malware, infatti altri ricercatori, come ad esempio Costin Raiu (@craiu) di Kaspersky ne indicano ben 449, ma di fornire una cronologia delle versionI rilasciate di EyePyramid negli ultimi anni.

Ringraziamo per la collaborazione in particolar modo JAMESWT (@JAMESWT_MHT) e Angel Hun (@SeraphimDomain) che ci hanno permesso di condividere queste informazioni su EyePyramid.
Le varianti sono state suddivise in base alla data di compilazione del malware, come possiamo osservare c'è una prima release del 2010, per poi passare dal 2014 fino al 2016.

Data di compilazione	MD5	Dimensione
17/09/2010 08.48.59	47BEA4236184C21E89BD1C1AF3E52C86	1307648
13/03/2014 09.14.17	1419BADD2BD836496D060515DDD045C3	1787392
14/03/2014 12.40.34	B32625338539EBC05522F1A0ABB794E4	1787392
17/03/2014 09.23.00	F8D325BE6D020AF7C98BB5A2172FB445	1787392
28/03/2014 05.51.00	9C57839B3F8462BD6C2D36DB80CD5ECC	1803264
29/03/2014 06.11.12	A63D2A94BB30D6926360933B13AF5291	1803264
11/04/2014 04.52.45	DB065FF90E1C8F3D7865EB4ACA30FC65	1822208
21/04/2014 09.07.23	36BD8FEED1B17C59F3C653E6427661A4	1828352
22/04/2014 08.16.08	17AF7E00936DCC8AF376AD899501AD8B	1828864
23/04/2014 16.18.25	12F3635AB1DE63FBCB5E1C492424C605	1828864
04/05/2014 19.54.01	D3C990DA7754324A0BFB2BA9947176F4	1986048
08/05/2014 20.08.35	859F60CD5D0F0FBD91BDE3C3914CBB18	1987072
11/05/2014 16.54.43	94EFF87ECA2F054AA5FBC1877A6CF919	1986560
15/05/2014 12.32.37	102BCCD95E5D8A56C4F7E8B902F5FB71	1986048
17/05/2014 06.39.42	9B8571B5281F3751750D3099049098E0	1986048
21/05/2014 14.09.44	DC39ADB8786CA7176EFC19614BD0CB68	1986048
13/06/2014 06.54.57	E8526583896CBADDD2D67A46D778B5A5	1988096
28/06/2014 09.33.50	F6A4BBEC2121755C6C4E897554E5F287	1988608
19/08/2014 18.52.30	9D4B46D3C389E0144238C821670F8537	2172416
24/08/2014 19.17.54	8AFB6488655CBEA2737D2423843EA077	2172416
08/09/2014 18.31.28	75621DE46A12234AF0BEC15620BE6763	2171904
30/09/2014 19.36.29	14DB577A9B0BFC62F3A25A9A51765BC5	2171904
18/10/2014 06.44.28	192D5866CBFAFAE36D5BA321C817BC14	2311168
19/10/2014 09.29.50	AFAB0FCBF8BC6595F9F2C0051B975A4E	2311035
19/10/2014 09.29.50	2896AE0489451D32F57C68B919B3FA72	2311278
21/10/2014 08.49.15	AB71CA072D4B526E258C21BD84EC0632	2313524
21/10/2014 08.49.15	CA243796E79C87C55F67A61BC3EE8DDC	2313269
21/10/2014 08.49.15	3FED695E2A6E63D971C16FD9E825FEC5	2312700
26/10/2014 09.24.35	898150DEA4D7275F996E7341463DB21F	2311336
26/10/2014 09.24.35	F41BE516FA8DA87A269845C9EA688749	2311206
26/10/2014 09.24.35	92C32EB72F5713CA1F2A8DC918F1F770	2311368
26/10/2014 09.24.35	1334A7DF1E59380206841D05D8400778	2311409
28/10/2014 08.07.55	09FF13B020DE3629B0547E0312A6C135	2310416
30/10/2014 22.47.43	5847072FD4DB9E83D02D8B40A1D67850	2311090
30/10/2014 22.47.43	D864AD5030D354C1E40A873A335B2611	2310666
30/10/2014 22.47.43	5BC1B8C07C0F83D438A3E891DC389954	2310614
30/10/2014 22.47.43	325F5D379C4D091743CA8581F15D3295	2310751
30/10/2014 22.47.43	02965C8A593989FF7051EC24736DA6BD	2311101
02/11/2014 17.36.47	BC333001D3F458FF8FDE9D989B53E16D	2309912
02/11/2014 17.36.47	932BD2AD79CBCA4341D853A4B5EA1DA5	2309925
05/11/2014 09.19.01	A29F0471C03E2A94FED22BD0272E3DF0	2310491
12/11/2014 08.53.20	D20487E2D2F674BFD849CB8730225DDE	2309167
12/11/2014 08.53.20	380B0F1921FED82E1B68B4E442B04F05	2309691
16/11/2014 11.07.10	98825A1CE35F46D004C0839E87CC2778	2317995
21/12/2014 17.17.43	9D3CE3246975AE6D545EE9E8BA12D164	2141184
10/02/2015 14.03.13	B39A673A5D2CEAA1FB5571769097CA77	2251808
10/02/2015 14.03.13	C547A30FA39F22E2093B51ED254BB1C2	2251946
10/02/2015 14.03.13	F3802442727C0B614482455D6AD9EDC2	2251704
10/02/2015 14.03.13	FAFD293065DAF126A9AD9562FC0B00B2	2251344
10/02/2015 14.03.13	53B41DC0B8FD9663047F71BC91A317DF	2251329
23/02/2015 08.10.12	3C30F0114C600510FDB2573CC48D5C06	2241536
03/05/2015 14.44.54	6DE1E478301D59AC14B8E9636B53815D	2268186
18/05/2015 07.01.30	47F1F9B1339147FE2D13772B4CB81030	2009366
24/05/2015 08.22.24	6A326D6DECEC7D8F17701719723CE384	2009088
03/06/2015 06.40.29	C38E9EDC0E4B18FF1FC5B61B771F7946	2168939
09/06/2015 12.46.03	78F2887C7D332D0547F90CAC543CDB9A (*)	2831611
02/07/2015 05.51.08	5A23062E97FDCFE26B830B157A281D62 (*)	2757664
02/07/2015 05.51.08	9F008A445D527A4C576F940DC0C09453 (*)	2758006
22/07/2015 07.23.55	52990C418C1FD490E5B0E8A3CC2B835D (*)	2751488
22/07/2015 12.39.58	C0E8F1C770896A20AE36F8F8234FE441 (*)	2682368
23/08/2015 07.14.28	FF7C5E27B7112EDED15DBA2519FAAF54 (*)	2753536
02/09/2015 08.20.24	4453FC9C9EA2D41834E1AE4884EA6A5F (*)	2706432
05/09/2015 11.51.31	0795B45470F4E5DDF5032AE73FC929B7 (*)	2875392
19/09/2015 19.47.25	223E156A99586D3351066F97639B6F23 (*)	2858496
27/09/2015 15.55.11	E91290319AD520F4C9E27FB44D01DB33 (*)	2849737
27/09/2015 15.55.11	F422493CFC9E6D48D922B9E6F6A61807 (*)	2849915
27/09/2015 15.55.11	53D9B02608723CB6FCD8BE11C68E5C5A (*)	2850182
27/09/2015 15.55.11	4867B2F9244FE12DBA378712375CEFBA (*)	2850049
30/09/2015 16.20.08	99BCC61D9EAE8493F10D81047460B473 (*)	2981888
18/10/2015 21.21.02	5B6F39F6FD388ACDAE21EBAA38BD2EAB (*)	2881536
25/10/2015 07.10.10	E372BF23620FB396D5439C82B87989C3 (*)	2853249
25/10/2015 07.10.10	FB6EBFC54E0AC4C50012CE23A4E078F0 (*)	2853161
25/10/2015 07.10.10	00C7D0C82BF512CE6D48D7D161A68F20 (*)	2853066
01/11/2015 21.36.24	448743CB884491841CC9CFE5C54D0B88 (*)	2787840
18/11/2015 14.07.01	4F8DA831499891E089EA87EE23401A53 (*)	2966458
18/02/2016 07.06.19	2EBF52797BDF6F35CA5D783D1FCC4069 (*)	2936320
01/04/2016 06.43.41	533F190446A279DAA3D77571CEBBB857 (*)	2871808
12/04/2016 15.17.19	5F1635D42092EAAD8A4B808F4C572E93 (*)	2869248

* = in fase di verifica

TG Soft
Centro Ricerche Anti-Malware