Chasse aux menaces assistée par le marquage BlackEnergy

Tout d’abord, permettez-moi de remercier tout le monde pour les retours et les commentaires sur le article. Il était assez exaltant de voir comment la théorie se vérifie en pratique.Après la publication de l’article, nos collègues de Talos nous ont partagé les résultats de l’application de la signature ; tous les échantillons ont été testés par nous sur VirusTotal et sont enregistrés dans le tableau suivant:

As you can see from the table, we have 7 samples that had first appeared on the VirusTotal in the last couple of days.

The oldest sample is more than 8 years old.

There is one sample that is identified only by three anti-virus solutions – cd86b354334af457c474c13901d905745edebbef5c23a276854cd2fb26795917 – and one of those solutions classifies it as BlackEnergy:

Il est apparu il y a seulement un jour :
Je vous propose de vous joindre à la chasse et de remplir ce tableau avec vos échantillons. Il sera intéressant de voir l’échantillon le plus ancien et combien d’échantillons différents nous pouvons « attraper ». Vous pouvez écrire les hachages directement ici dans les commentaires. J’espère que la « chasse » aux nouveaux échantillons révélera des motifs encore plus intéressants.

Mis à jour le 11 mars

Nous avons reçu trois échantillons supplémentaires. En se basant sur le nom du virus, la taille du fichier et d’autres paramètres, il est évident que nous avons affaire à une mutation du même code source, bien que comme mentionné dans le article l’attribut commun pour ces échantillons sont les mêmes hachages (8 octets). Ainsi, nous pouvons observer qu’il s’agit d’un autre exemple montrant comment notre signature simple a aidé à lier les trois échantillons au même outil qui a été utilisé pour traiter le code pendant la phase de Weaponization avant d’être livré à la cible. Ainsi, malgré la mutation du code, cela pourrait être détecté plus tôt lors de l’analyse initiale.

Bien sûr, je réalise que la signature Yara que j’ai développée n’est pas une solution miracle, mais elle aide à mener une observation intéressante où une méthode si simple peut révéler des motifs entiers, une sorte de test décisif.