BlackEnergy 표기를 통한 위협 사냥

먼저, 이전 기사에 대한피드백과 댓글에 감사드립니다. 이론이 실제로 어떻게 적용되는지를 보는 것은 매우 흥미로웠습니다.기사 게재 후, 탈로스의 동료들이 서명 적용 결과를 공유했습니다. 모든 샘플은 VirusTotal에서 테스트되었으며, 다음 표에 기록되어 있습니다:

As you can see from the table, we have 7 samples that had first appeared on the VirusTotal in the last couple of days.

The oldest sample is more than 8 years old.

There is one sample that is identified only by three anti-virus solutions – cd86b354334af457c474c13901d905745edebbef5c23a276854cd2fb26795917 – and one of those solutions classifies it as BlackEnergy:

하루 전 나타났습니다:
나는 당신에게 이 테이블에 당신의 샘플을 채워넣고 사냥에 참여하라고 제안합니다. 가장 오래된 샘플과 얼마나 다른 샘플을 “잡을” 수 있는지 보는 것이 흥미로울 것입니다. 해시는 댓글에 바로 쓸 수 있습니다. 나는 새로운 샘플에 대한 “사냥”이 더 흥미로운 패턴을 드러낼 것을 희망합니다.

3월 11일 업데이트

우리는 세 개의 샘플을 더 받았습니다. 바이러스 이름, 파일 크기 및 다른 매개변수를 기반으로 보면 같은 소스 코드의 변형을 다루고 있다는 것이 확실합니다. 비록 앞서 언급했듯이 기사에 대한 이 샘플들의 공통 속성은 동일한 해시(8 바이트)입니다. 따라서 우리는 이것이 단순한 서명이 어떻게 세 개의 샘플을 코드 무기화 단계에서 타겟에 전달되기 전에 처리하는 도구와 연결시키는데 도움을 줄 수 있는 또 다른 예시라는 것을 관찰할 수 있습니다. 그래서 코드 변형에도 불구하고 이것은 초기 분석 단계에서 더 일찍 감지될 수 있습니다.

물론, 내가 개발한 Yara 서명이 마법 같은 역할을 하지는 않지만, 그러한 간단한 방법으로 전체 패턴을 드러내는 흥미로운 관찰을 수행하는 데 도움이 됩니다, 일종의 리트머스 검사와 같은 것입니다.