Caza de amenazas asistida por la marca BlackEnergy

Primero, permítanme agradecer a todos por los comentarios y sugerencias sobre el artículo. Fue bastante emocionante ver cómo la teoría se sostiene en la práctica.Después de que se publicó el artículo, nuestros colegas de Talos compartieron con nosotros los resultados de la aplicación de la firma; todas las muestras han sido probadas por nosotros en VirusTotal y se registran en la siguiente tabla:

As you can see from the table, we have 7 samples that had first appeared on the VirusTotal in the last couple of days.

The oldest sample is more than 8 years old.

There is one sample that is identified only by three anti-virus solutions – cd86b354334af457c474c13901d905745edebbef5c23a276854cd2fb26795917 – and one of those solutions classifies it as BlackEnergy:

Ha aparecido hace solo un día:
Propongo que te unas a la caza y llenes esta tabla con tus muestras. Será interesante ver la muestra más antigua y cuántas muestras diferentes podemos «atrapar». Puedes escribir los hashes aquí mismo en los comentarios. Espero que la «caza» de nuevas muestras revele patrones que sean aún más interesantes.

Actualizado el 11 de marzo

Hemos recibido tres muestras más. Basándonos en el nombre del virus, el tamaño del archivo y otros parámetros, es obvio que estamos tratando con una mutación del mismo código fuente, aunque, como se mencionó en el artículo el atributo común de estas muestras son los mismos hashes (8 bytes). Por lo tanto, podemos observar que este es otro ejemplo de cómo nuestra simple firma ha ayudado a vincular las tres muestras a la misma herramienta que se utilizó para procesar el código durante la fase de Weaponization antes de entregarse al objetivo. Así que, a pesar de la mutación del código, esto podría detectarse antes durante la etapa de análisis inicial.

Por supuesto, me doy cuenta de que la firma Yara que he desarrollado no es una bala de plata, pero ayuda a llevar a cabo una observación interesante donde un método tan simple puede revelar patrones completos, una especie de prueba de fuego.