P4nch0_19

Research, Ciberseguridad, ML, DataScience. Mis opiniones son personales y no reflejan la postura de mi empleador ni mis colaboradores.

[P4nch0_19 @P4nch019]

@cyb3rops Looks great, thanks. Maybe another with insider attack?

[P4nch0_19 @P4nch019]

@1ZRR4H @hiramcoop @vxunderground Muchas gracias, esos ejemplos usan el mismo loader. A validar que es. También vi un correo desplegando remcos, como viene mencionado en el enlace con un archivo xla, pero no lo detoné.

[P4nch0_19 @P4nch019]

Hey @1ZRR4H , @hiramcoop o @vxunderground do you know what is this?

[P4nch0_19 @P4nch019]

Encontré un correo malicioso interesante dirigido a Colombia. Usa varios tipos de archivos, esteganografía, carga .NET al vuelo desde powershell. Toda una joya. Todavía no descubro que es, pero seguiré investigando.

[P4nch0_19 @P4nch019]

I forgot the iocs

[P4nch0_19 @P4nch019]

Flow diagram of the attack until now

[P4nch0_19 @P4nch019]

9. Document FdiemAS.txt is a reversed string base64 encoded NET binary
10. Binary contains malformed header

[P4nch0_19 @P4nch019]

Encontré un correo malicioso interesante dirigido a Colombia. Usa varios tipos de archivos, esteganografía, carga .NET al vuelo desde powershell. Toda una joya. Todavía no descubro que es, pero seguiré investigando.

[P4nch0_19 @P4nch019]

5. Inside ace is a ofuscated code double extension pdf.vbs
6. VBS code contiains powershell to download a jpg with base64 code added
7. Decoded code is a NET binary and loaded directly in memory from powershell to execute a method
8. Method received a reversed URL

[P4nch0_19 @P4nch019]

8/
Los mismos indicadores en un correo dirigido a https://t.co/ccxeHSvvZS el payload el MSI en VT https://t.co/6z9mP5Q6PD

[P4nch0_19 @P4nch019]

1/
Encontré un correo malicioso posiblemente dirigido a México, falta revisar la descarga final, pero lo que llamó mi atención es que ahora usan el correo de yandex para descargar el payload.

[P4nch0_19 @P4nch019]

7/
Algunas curiosidades.
Una pista del autor del payload: c:\U\Release\f0p3ded2.pdb
En la función principal usa una cadena fija y una clave, posiblemente para descifrarla

[P4nch0_19 @P4nch019]

@maripydev programar es fácil, lo complicado es hacerlo "bien".
print("Hola mundo!")

[Germán Fernández @1ZRR4H]

@CFEmx @CFE_Contigo @malwrhunterteam @JAMESWT_MHT @pr0xylife También está circulando otro correo phishing con el mismo flujo de infección pero suplantando a @liverpoolmexico ⚠️

cc: @johnk3r @dodo_sec @Merlax_ @hiramcoop @0xDanielLopez @seguridadyredes @nuria_imeq