Фішингова кампанія Emotet - оновлення IoC
Повідомляємо, що відбувається розсилання шкідливих електронних листів, що містять шкідливий документ MS Word або посилання на його завантаження.
Рівень загрози: СЕРЕДНІЙ
Зразок електронного повідомлення:

Детальний опис:
Звертаємо увагу, що розсилання шкідливих листів відбувається безпосередньо через скомпроментовані поштові скриньки (близько 1000 для даної кампанії), подібні листи легко обминають системи захисту організації та дістаються скриньки кінцевого користувача, бо містять лише текст та посилання на завантаження шкідливого файлу MS Word, при цьому назви файлів, що завантажуються генеруються випадково.
Завантажений файл містить VBA-макроси, виконання яких призводить до запуску та передачі команд до powershell для завантаження екземпляру шкідливого файлу, що є зразком EMOTET.
Завантаження шкідливого виконуваного файлу відбувається за одним із посиланнь, що генерується випадково із пулу посилань (див. IoC).
Шкідливий зразок зберігається в системі та перезапускається під іншим ім’ям та з іншої локації, а також відбувається його додавання до автозавантаження. Після закріплення в системі відбувається комунікація з C2 - серверами. Основна мета – це крадіжка облікових даних користувача від систем банківського обслуговування.
Поштовий лист –> URL або MS Word -> macros -> powershell -> GET URL –> EMOTET.exe –> Banker&Evader&Trojan/Bot

Механізм роботи:
Індикатори кіберзагроз:
Main object - "***.doc"
SHA-1
010ee463ed7022fb49d2e01dea397b3af28ecf04
01282af92851848dc6b50b7088ad8955852042c3
033a50ba520d35f5e5d65ef0985a7d4da64f716b
0a301f5b4b2a7be0b4b23a530c07e47c36131a2b
14383831efaf7d547bc5f4b718e8694fc7101ceb
15e46154c0cb8e20e1fb6584231d8da05ceb6515
1f48a65c2f3f565018353fe35db620fc301fa41a
1f7757e9afd8b8f9b3bfbf77ab35b63dd6c1c9fc
1fe048f36cc031a916bcc5b10cc93e9cf1ad9940
21d55bfa4f70962a886aa62cf63e7537f94c372d
2db93fbe1964fe70ef070d5f9f2058280d650166
47c4dab47f0ef4535986cc03fff6a876cf2bff42
78b1d64153ca3769003aec080d217976e73124cf
7f8198d966bb6be82a11517d6269ecfc4d2f089d
88a872e263866348a753bfcf42b89f8e740b2426
a6159db0954f2a6db78d6af84d785a72b9eced3e
b4bb4e3714a9eb36528aafe321e0fb6964aacc05
b63e7bd1d94e9c866ea52ca2b8705c9c4be164d6
b86a486c368ed19d978fc40a7f4e0486619c2c3a
c2b50562f30593a90bad8eb6c2d1e70dcd889a9e
e130739167071f7e5b29db0698a5e13636308ab1
e33f8d4ba72c44b3c223fe92726e0582dc9f278d
e5b28651d320e9e291842102819af9ed69d1efd5
fb9a56d9b249d73f9648beea6e92d8b11c01cffa
SHA-1 x-dosexec - "***.exe"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 "***.doc"
hxxps://www.zonzo.app/wp-content/eTrac/emhu1pi8v/fn82v-6839665627-2289-ymg89z8f7-slb5fqe03w/
hxxps://watchlivehdtv24.xyz/wp-admin/attachments/1wuhxaguv2bz/
hxxps://wtpotus.com/wp-includes/fonts/Overview/a-439781817-684199647-x55fnl-se0u4attoc/
hxxp://www.setonmach.cn/wp-includes/LLC/mcf1c-956-23220482-f7pcdjgnkd-46lo8bc/
hxxp://curranhomecompany.ie/assets/FILE/
hxxp://kbxiucheph.com/wp-admin/178067
hxxp://successkaadda.com/wp-includes/docs
hxxp://technologyadvantages.000webhostapp.com/wp-admin/payment/l68ye9r5nl/x17-91072-45-57r3shhfp6-2h03ekdrpsq
hxxp://aimeept.com/wp-includes/INC/1p-2884648-38128-qqew-hxrig8/
hxxps://urbanbasis.com/wp-admin/report/not0sc
hxxp://drivechains.org/wp-admin/LLC/awt4g0whh5/q7imk-98785-833764429-pvty-s4etwgmk
hxxps://www.diamondknit.net/wp-includes/statement/
hxxp://cordelta-web.cordelta.digital/wp-includes/Scan/kqrtcw/574uz1v-33900-64-d022p703-ukw4wyp8me0p/
hxxp://curranhomecompany.ie/assets/FILE/
hxxp://txfc58.com/wordpress/oct/9wqwjf/8xvdo-7101650-489-veq74nw-048gn
hxxps://bkv-marktvergleich.com/wp-content/browse/ia8hfyntg/
hxxp://uaq-escorts.com/2vlc/public/q5em-30268-049167-sozd667i7m7-rgr5imoxhbt4
hxxps://bahcelievler-rotary.org/o767/payment/482no4tgy/
hxxps://staging.westlondon-musictutors.co.uk/css/payment/txdz0fzn48ux/u1l1oe-116703-38-hjeeu4xm8wi-2rlw5mqs/
hxxps://trendingup.life/wp-includes/public/47y5iv/
hxxps://ifrikiaedibleoil.com/modules/browse/77tsn0ygiu6i/g79s-6273158-0346-zh8fl3ge-3sscfxya5/
hxxps://www.proqual.com.tn/xmenial/public/4yg-94404336-86324239-zrv48l9lb-t1qofp9/
hxxp://gachboori.ir/wp-content/LLC/
hxxp://sabada.ir/wp-content/invoice/jcgoep/
hxxp://polandpresents.info/libraries/statement/i6bkyofwihoo/t22f7j-757073672-96-504wghr-so1m/,
hxxps://com-unique.tn/xmenial/DOC/a3sfg-2399508105-71-bi2e1-hya2fc5saiw/
hxxp://itfirms.concatstring.com/__MACOSX/121263869/txpwgw8p0gmm/w6qf5x-8103-173-5ukd-wf4w3it4ynv/
hxxps://fam.com.tn/xmenial/LLC/
hxxp://garama.es/wp-admin/balance/dfeowzvmv99
hxxp://briannarick.com/events-tools/Reporting/qo2bh1t/
hxxp://tamison.ir/wp-admin/docs/v1599q2jg4m/tg2-031723198-3981129-gt5kp-h2vr/
hxxp://jamirick.com/wp-admin/OCT/yc1f5h/fu7ocj-314-8519-xresu50-7x2luruq/
hxxps://www.depannage-reparateur-lave-linge.com/wp-includes/paclm/co-180-02490820-y72io-fd55h10oaq/
hxxp://ignaciuk.pl/Smarty-2.6.22/parts_service/lzltm09f/
hxxp://yongcaibao.com/wp-admin/Overview/j-254512010-367995-76mz1gv-fh4zhz9ue/
hxxp://gotrukz.com/wp-content/public/7gauugj6n/ge-230-394554-g3xavfb-pz8s9zk3es8f/
hxxp://horal.sk/2016/7430252247829179/82fgkg24p42/keb85d-151-38919-jme4zxjo922-c9ukup5am/
hxxp://disperindag.papuabaratprov.go.id/cgi-bin/attachments/
hxxp://bur-dubaiescorts.com/wp-admin/parts_service/k2uc0u4wye/ob-996426-339-6fiqams1-ad9ve0a8/
hxxps://ldpneus.re/WEFiles/attachments/wqckr0-0168634-170-lmzqgucyh-h7yp29
hxxp://servicemanager.net.in/wp-admin/LLC/wdqebpqj/
hxxp://hammerhelm.com/dev/swift/bn7jk6bq9/
hxxps://instascan.vot.by/js/LLC/ursq1rlxp225/losu7bm-3853493003-9228413-0t2j-qwuty/
hxxps://freshjobportal.com/wp-content/LLC/u5zm1cv-7056689-42161858-ome10-wz9q49w/
hxxps://atttechcare.000webhostapp.com/wp-admin/report/4s6hincbxf/
hxxp://iprointeractive.ca/wp-includes/Documentation
hxxp://axen.com.pl/pix/G7BUHWBWUWNZ/5k-8262730-263-necwua112o-8ewwluq7vc89/
hxxp://grammercygroup.com/cgi-bin/OCT/xehw32/
hxxps://jumpycrypto.com/web_map/Overview/j570d58/3jya-2056126952-53-3rlhi-4hkvpq05/
hxxp://hondahatinh.vn/engl/Document/b4rwd4f-03692-646610219-obiiv-u202irz6e1/
IP Download "***.doc"
3.123.145.60
167.86.102.105
162.241.76.200
122.114.221.252
104.24.124.137
104.24.125.137
154.215.170.226
151.106.5.6
145.14.144.144
160.153.204.204
79.170.167.100
66.23.252.162
148.163.67.135
178.128.107.172
104.24.125.137
104.24.124.137
23.225.123.149
185.21.102.97
46.166.189.98
46.45.166.245
62.75.146.112
67.225.210.183
147.135.192.204
147.135.192.204
88.99.215.8
88.99.215.8
79.96.12.16
147.135.192.204
68.66.224.42
147.135.192.204
205.144.171.158
104.27.181.130
104.27.180.130
5.135.231.147
66.85.150.203
51.178.25.125
188.68.243.193
192.186.11.170
54.169.165.95
213.215.124.204
103.109.0.20
46.166.189.98
94.23.33.137
182.71.243.99
118.185.120.164
66.85.150.203
45.55.69.246
63.250.34.142
145.14.144.144
67.225.154.71
144.76.75.238
209.59.164.27
206.81.6.140
45.77.10.203
Download x-dosexec - "***.exe"
hxxp://insatechsupply.com/prkcu/2jzbh/
hxxp://iranoca.com:80/dup-installer/py18r0/
hxxp://gaijinmassoterapia.com/calendar/5H/
hxxp://klkindia.com/wp-includes/su/
hxxp://kitkatstudio.com/brambedkarsws.com/Oios8Qm/
IP Download x-dosexec - "***.exe"
94.130.200.225
166.62.28.81
107.180.46.242
107.180.24.238
107.180.14.67
C&C POSTs
hxxp://173.91.11.142:80/4NzReHGWPIaVtGmi
hxxp://66.209.97.122:8080/eOBIZMFpu9
hxxp://87.106.225.180:8080/kET64tfLGolgKrwpXK
hxxp://174.77.190.137:8080/0ttG9L5
hxxp://104.137.176.186/uyag1r
hxxp://165.227.156.155:443/SIvNBmYAdfT
hxxp://167.99.105.223:7080/OdxRGJcCjVdsPZ79X