بدافزار ماژولار و چندمرحله‌ای CobInt

به گزارش کارگروه امنیت سایبربان؛ 

بدافزار CobInt یک دانلودکننده چند مرحله‌ای است که از طریق ایمیل‌های مخرب ارسال می‌شود.

گروه Proofpoint چهار حمله ایمیلی را با جزئیات زیر را شناسایی کرده است:
۱.    در تاریخ ۲ آگوست (۱۱ مرداد) ایمیل‌هایی با عنوان روسی و با محتوای "Suspicion of fraud" از آدرس denis[@]inter-kassa[.]com ارسال شدند که حاوی دو لینک مخرب هستند و لینک اول دانلودکننده More_eggs  و لینک دوم فایل اجرایی مرحله اول بدافزار CobInt را منتقل می‌کند.
۲.    در تاریخ ۱۴ آگوست (۲۳ مرداد) ایمیل‌هایی از دامنه‌های sepa-europa[.]com یا sepa-europa[.]info ارسال شدند که حاوی سند مخربی هستند که از آسیب‌پذیری‌های CVE-۲۰۱۷-۸۵۷۰، CVE-۲۰۱۷-۱۱۸۸۲ یا CVE-۲۰۱۸-۰۸۰۲ بهره می‌برند.
۳.    در تاریخ ۱۶ آگوست (۲۵ مرداد) نیز ایمیل‌های مشابهی از دامنه aifabank[.]com ارسال شدند. در URL درج شده در این ایمیل‌ها از آسیب‌پذیری‌های ایمیل‌های قبلی سوء استفاده شده است.
۴.    ایمیل‌های دیگری در تاریخ ۴ سپتامبر (۱۳ شهریور) از دامنه ralffeisen[.]com ارسال شدند که حاوی سندی در پیوست هستند که در آن از آسیب‌پذیری CVE-۲۰۱۸-۸۱۷۴ سوء استفاده شده است.
بدافزار CobInt یک دانلودکننده سه مرحله‌ای است که با زبان C نوشته شده است. در مرحله اول مولفه اصلی بدافزار دانلود، در مرحله دوم مولفه اصلی اجرا می‌شود و در مرحله آخر ماژول‌های اضافی دانلود میشوند. ارتباط بدافزار از طریق HTTPS با سرور C&C برقرار می‌شود. در مرحله اول فایل DLL مولفه اصلی بدافزار دانلود و اجرا و در مرحله دوم کدهای ماژول‌های اصلی بدافزار دانلود می‌شود.
نکته قابل توجه درباره این بدافزار، جاسوسی آن از رایانه قربانی است. بدافزار دارای قابلیتی است که از سیستم قربانی اسکرین‌شات تهیه و به سرور C&C ارسال می‌کند. همچنین، نام فرایندهای پردازشی سیستم قربانی نیز به C&C ارسال می‌شوند. در صورتی که ملاحظات امنیتی سیستم قربانی در سطح مورد نظر مهاجم باشد، یا سیستم در یک سندباکس نباشد و یا شواهدی مبنی بر دام نبودن سیستم قربانی وجود نداشته باشند، بدافزار به فعالیت خود ادامه می‌دهد و بدنه نهایی را بارگیری می‌کند.
علاوه بر این در تمامی ماژول‌ها از تکنیک‌های مبهم‌سازی نیز استفاده شده است.
IoCها:
هشها (SHA۲۵۶):

    ۶ca۳fc۲۹۲۴۲۱۴dbf۱۴ba۶۳dde۲edb۱e۵۰۴۵a۴۰۵c۳۳۷۰a۶۲۴c۱bb۷۸۵f۱dc۰e۸ff   •
    ۵۸۵۹a۲۱be۴ca۹۲۴۳f۶adf۷۰۷۷۹e۶۹۸۶f۵۱۸c۳۷۴۸d۲۶c۴۲۷a۳۸۵efcd۳۵۲۹d۸۷۹۲   •
    ۰۳۶۷۵۵۴ce۲۸۵a۳۶۲۲eb۵ca۱۹۹۱cfcb۹۸b۶۲۰d۰۶۰۹c۰۷cf۶۸۱d۹۵۴۶e۲bf۱۷۶۱c۴   •
    dad۷b۴bfe۰a۱adc۵ca۰۴cd۵۷۲f۴e۶۹۷۹e۶۴۲۰۱d۵۱d۲۶۴۷۲۵۳۹c۰۲۴۱a۷۶a۵۰f۲۸   •
    ۲f۷b۵۲۱۹۱۹۳۵۴۱ae۹۹۳f۵cf۸۷a۱f۶c۰۷۷۰۵aaa۹۰۷۳۵۴a۶۲۹۲bc۵c۸d۸۵۸۵e۸bd۱   •
    ۱fc۲۴f۸۹f۱d۲۷addd۴۲۲c۹۹a۱۶۳cedc۹۷۴۹۷b۷۶b۵۲۴۰da۳b۵f۵۸۰۹۶۰۲۵bbe۳۸۳   •
    ab۷۳ad۱ef۸۹۸e۲۵۰۵۲c۵۰۰۲۴۴a۷۵۴aa۹۹۶۴dff۷fd۱۷۳b۹۰۳d۱۲۳۰a۹e۸d۹۱۵۹۶f   •
    eb۹d۳۴aba۲۸۶۴۷۱a۱۴۷۴۸۸ea۸۲eec۹۹۰۲۰۳۴f۹f۱cf۷۵c۴fa۱c۷dd۴۰۸۱۵a۴۹۳d۸   •
    ۸۲۶۳e۰db۷۲۷be۲۶۶۰f۶۶e۲e۶۹۲b۶۷۱۹۹۶c۳۳۴۴۰۰d۸۳e۹۴fc۰۳۵۵ec۰۹۴۹dce۰۵c   •
    ۵d۲۹b۸۹e۹ee۱۴۲۶۱c۱b۵۵۶bbc۶۶۶۵۰۴۸۸b۵۹۰f۳۱۱۱۷۳aef۶۴۱e۱۷۸ba۷۳۵e۶e۰d   •
   ۹c۰ddfcfb۸d۱e۶۴۳۳۲fa۷۴۲۰f۶۹۰e۶۵a۶c۴ecbeef۶۳۹۵f۴c۷۶۴۵da۵۱۰۹۸۹۶۲cc   •

دامنه‌ها:

    hxxps://download[.]outlook-۳۶۸[.]com/Document۰۰۵۹۱۶۷۴.doc   •
   hxxp://sepa-europa[.]eu/transactions/id۰۲۰۸۲۰۱۸.jpg   •
  hxxp://sepa-europa[.]eu/document.scr   •
  ibfseed[.]com   •
    hxxps://sepacloud[.]eu/file/Documents/document_۷۸۲۱۹.jpg   •
    hxxps://sepa-cloud[.]com/file/Documents/document_۷۸۲۱۹.jpg   •
    hxxps://sepa-cloud[.]com/file/Documents/document_۷۸۲۱۹.scr   •
    rietumu[.]me   •
    hxxps://aifa-bank[.]com/documents/۲۰۱۸/fraud/fraud_۱۶۰۸۲۰۱۸.doc   •
    click-alfa[.]com   •
    hxxps://raifeisen[.]co/invoice/id/۳۰۵۶۷۴۵۶۷   •
   activrt[.]com   •