Caça a ameaças assistida pela marca BlackEnergy

Primeiro, deixe-me agradecer a todos pelos comentários e feedbacks sobre o artigo anterior artigo. Foi bastante emocionante ver como a teoria se sustenta na prática.Após a publicação do artigo, nossos colegas da Talos compartilharam conosco os resultados da aplicação da assinatura; todas as amostras foram testadas por nós no VirusTotal e estão registradas na tabela a seguir:

As you can see from the table, we have 7 samples that had first appeared on the VirusTotal in the last couple of days.

The oldest sample is more than 8 years old.

There is one sample that is identified only by three anti-virus solutions – cd86b354334af457c474c13901d905745edebbef5c23a276854cd2fb26795917 – and one of those solutions classifies it as BlackEnergy:

Ele apareceu apenas um dia atrás:
Proponho que você participe da caçada e preencha esta tabela com suas amostras. Será interessante ver a amostra mais antiga e quantas diferentes amostras podemos “capturar”. Você pode escrever os hashes aqui mesmo nos comentários. Espero que a “caçada” por novas amostras revele padrões ainda mais interessantes.

Atualizado em 11 de março

Recebemos mais três amostras. Com base no nome do vírus, tamanho do arquivo e outros parâmetros, é óbvio que estamos lidando com a mutação do mesmo código-fonte, embora, como mencionado no artigo o atributo comum para essas amostras são os mesmos hashes (8 bytes). Portanto, podemos observar que este é mais um exemplo de como nossa simples assinatura ajudou a vincular as três amostras à mesma ferramenta que foi usada para processar o código durante a fase de armamento antes de ser entregue ao alvo. Assim, apesar da mutação do código, isso poderia ser detectado mais cedo durante a fase inicial de análise.

Claro, eu percebo que a assinatura Yara que desenvolvi não é uma solução milagrosa, mas ajuda a conduzir uma observação interessante onde um método tão simples pode revelar padrões completos, um tipo de teste de tornassol.