eXtended Malware Analysis Platform : l’analyse de l’échantillon Qakbot

La tendance du “As a Service” ne concerne pas que le Software ou les plateformes cloud : ces derniers mois, nous constatons une tendance de “Threat As a Service” sur de nombreux secteurs : Ransomware, Accès initiaux, etc… Ces logiciels malveillants que l’on peut acheter au jour, au mois ou sans limite de temps sont aussi bien des outils de déploiement que d’infection finale. Le partage, la vente ou le vol de code source d’outils deviennent récurrents sur les plateformes du darkweb donnant naissance à de nouveaux variants de logiciels malveillants. Nous vous proposons aujourd’hui l’étude du cas d’un loader récent très répandu dont l’infrastructure de support est organisée et dont la variation permet de ne pas être détecté par les différentes plateformes antivirales au moment de l’analyse.

Ce loader est une première étape d’infection, qui constitue la base d’une offre “Loader as a Service” que l’on retrouve ensuite dans plusieurs menaces

– Première partie –

L’analyse est effectuée à l’aide du produit GLIMPS Malware Expert, qui permet une investigation rapide de ce type de menace.

Nous nous trouvons face à un fichier html qui comporte principalement 2 blocs en base64 ainsi qu’un élément HTML <div> faisant apparaitre, à priori, un mot de passe.

Le module de visualisation sécurisée nous permet de constater que notre fichier ne semble pas correspondre aux 2 blocs de texte encodés en base64 qui le composent.

Notre plateforme d’analyse effectue automatiquement le travail d’extraction et de désencapsulation en toute sécurité. Il s’avère que l’un de ces blocs encodés en base64 est un autre fichier js qui contient un fichier compressé encodé, lui aussi, en base64. (T1059.007)

Cet enchainement d’encapsulations permet, à priori, une exécution, à l’insu de la cible.
Nous constatons que le fichier compressé est protégé par un mot de passe ce qui lui permet d’échapper certains contrôles antiviraux (T1027).

– Deuxième partie –

L’archive a été soumise à notre plateforme d’analyse en lui fournissant le mot de passe contenu dans le premier fichier html. Le module d’extraction intégré à GLIMPS Malware a permis de décompresser un fichier iso qui lui-même emporte l’arborescence suivante :

L’utilisation du module de visualisation nous permet de constater que les fichiers lnk et cmd sont offusqués. Une analyse rapide montre que le fichier lnk appelle le fichier cmd qui a pour charge d’instancier, via l’application regsvr32, le fichier persuaders.dat qui n’est autre qu’une bibliothèque dll.

La technologie Deep engine de GLIMPS Malware identifie facilement le fichier dll comme [malveillant] et présentant des fonctions malveillantes équivalentes à plusieurs outils de type rat ou loader. (formbook, smokeloader, remcos, redline, amadey …)

Cette bibliothèque servirait donc de loader ou d’intermédiaire à une autre charge malveillante.

Nous avons pour coutûme de dire que GLIMPS Malware permet d’essorer un fichier pour en tirer toutes les informations possibles : afin d’aller au bout de l’analyse, nous avons soumis la charge dll à notre nouveau module d’extraction dynamique. Cette analyse permet d’extraire un nouveau fichier executable dll ainsi qu’une liste non exhaustive de couples ‘adresse ip:port’ : probablement les paramètres du loader.

Notre moteur Deep Engine identifie rapidement et formellement le fichier comme une charge qakbot (T1574).

La confrontation de la liste d’IOC à notre base interne entérine le fait que nous sommes face à un qakbot puisqu’ils sont tous identifiés comme appartenant à une infrastructure qakbot affiliée obama.

L’analyse temporelle de nos ioc nous indique que ce malware s’appuie sur une infrastructure qui aurait au maximum 1 mois de vie au moment de la recherche. En prenant en compte la date de compilation de la première bibliothèque (à supposer que cette information n’ait pas été manipulée volontairement par les développeurs), nous pouvons en déduire que cette campagne d’infection est très récente.

Nos différentes analyses nous indiquent que nous sommes face à un malware ‘poupée russe’ dont l’encapsulation des fichiers les uns dans les autres a pour but d’essayer d’échapper aux détections et de ralentir au maximum les analyses.

Les différents résultats nous montrent que ce maliciel, dont l’infection initiale (le fichier html) arrivant probablement par phishing email (T1598), finit par instancier un loader qakbot récent qui a pour mission de récupérer une autre charge malveillante.

Au même titre que LockBit et sa redoutable structure de Ransomware as a service, notre analyse nous montre que ce loader qakbot, récent et s’appuyant sur une infrastructure conséquente, possède tous les atouts pour continuer, malheureusement, à être dans le top des vecteurs d’infections initiales.

Annexe – tableau des TTP / Références Mitre Att&ck / Chart