Caccia alle minacce assistita dal marchio BlackEnergy

Innanzitutto, lasciatemi ringraziare tutti per i feedback e i commenti sul precedente articolo. È stato piuttosto emozionante vedere come la teoria si regge in pratica.Dopo la pubblicazione dell’articolo, i nostri colleghi di Talos hanno condiviso con noi i risultati dell’applicazione della firma; tutti i campioni sono stati testati da noi su VirusTotal e sono registrati nella seguente tabella:

As you can see from the table, we have 7 samples that had first appeared on the VirusTotal in the last couple of days.

The oldest sample is more than 8 years old.

There is one sample that is identified only by three anti-virus solutions – cd86b354334af457c474c13901d905745edebbef5c23a276854cd2fb26795917 – and one of those solutions classifies it as BlackEnergy:

È apparso solo un giorno fa:
Vi propongo di unirvi alla caccia e compilare questa tabella con i vostri campioni. Sarà interessante vedere il campione più vecchio e quanti campioni diversi possiamo “catturare”. Potete scrivere gli hash direttamente qui nei commenti. Spero che la “caccia” ai nuovi campioni rivelerà schemi ancora più interessanti.

Aggiornato l’11 marzo

Abbiamo ricevuto tre campioni in più. Basandoci sul nome del virus, la dimensione del file e altri parametri, è ovvio che abbiamo a che fare con una mutazione dello stesso codice sorgente, anche se come menzionato nel articolo l’attributo comune per questi campioni sono gli stessi hash (8 byte). Quindi possiamo osservare che questo è un altro esempio di come la nostra semplice firma abbia aiutato a collegare i tre campioni allo stesso strumento che è stato usato per processare il codice durante la fase di Weaponization prima di essere consegnato al bersaglio. Quindi, nonostante la mutazione del codice, questo potrebbe essere stato rilevato precedentemente durante la fase di analisi iniziale.

Ovviamente, mi rendo conto che la firma Yara che ho sviluppato non è una bacchetta magica, ma aiuta a condurre un’osservazione interessante in cui un metodo così semplice può rivelare interi schemi, una sorta di test al tornasole.