Upatre: nouvelle campagne

[Malekal_morte]

Ce topic regroupe quelques campagnes de courriels malicieux du malware Upatre aka TrojanDownloader:Win32/Dalexis / Win32/TrojanDownloader.Elenoocka.A qui peuvent conduire à des rançongiciels comme CTB-Locker ou plus généralement à des programmes spécialisés dans le vol de données bancaires comme Dyre / Dyreza.

Une enième campagne du malware Upatre qui peut conduire au Ransomware Cryptowall a aussi lieu.

Un exemple d'un mail se faisant passer pour le service American Express :



qui conduit à un zip contenant le malware :




L'analyse VirusTotal : https://www.virustotal.com/fr/file/02ca ... 422025486/

SHA256: 02ca07c1c7818fa0184a04e0c4a20297c9bd97817f9a788e180f136111150d03
Nom du fichier : bankline_document_pdf82525.exe
Ratio de détection : 5 / 57

ByteHero Virus.Win32.Heur.c 20150123
CAT-QuickHeal (Suspicious) - DNAScan 20150123
K7GW Trojan ( 700001211 ) 20150123
McAfee-GW-Edition BehavesLike.Win32.Autorun.pz 20150123
Norman Upatre.FN 20150123

[Malekal_morte]

Nouvelle campagne se faisant passer pour Orange,
L'email de l'expéditeur : [email protected]

Les sujets :

facture Orange
iMessage sont pour le moment facturés chez Orange

Le mail est vide, donc cela peut mettre la puce à l'oreille quant à la suspicion de ce dernier.
Comme d'habitude avec Upatre, un fichier zippé est accompagné orange_facture electronique_F6290136-2975562.PDF.zip qui conduit à des fichiers exécutables :

677064088656.exe
orange_facture_electronique_F3992004-8857833.PDF.exe

Upatre_campagne_orange_2.png

L'entête du courriel est modifié afin de tromper les antispams et se faire passer pour Orange :

Upatre_campagne_orange.png

La détection est bonne (le fichier est vieux d'hier) :

SHA256: e748ca650230a6750f0497553e9bafcfa80a66823a4764476e488f4376fdb5be
Nom du fichier : orange_facture electronique_F3992004-8857833.PDF.exe
Ratio de détection : 27 / 56
Date d'analyse : 2015-10-08 07:34:48 UTC (il y a 0 minute)

Antivirus Résultat Mise à jour
AVG Crypt_s.JLU 20151008
Ad-Aware Trojan.GenericKD.2780658 20151008
AhnLab-V3 Trojan/Win32.Upatre 20151008
Arcabit Trojan.Generic.D2A6DF2 20151008
Avast Win32:Trojan-gen 20151008
Avira TR/Obfuscate.52224.1 20151008
BitDefender Trojan.GenericKD.2780658 20151008
Cyren W32/Upatre.ED.gen!Eldorado 20151008
DrWeb Trojan.Upatre.8655 20151008
ESET-NOD32 a variant of Win32/Kryptik.DZRH 20151008
Emsisoft Trojan.GenericKD.2780658 (B) 20151008
F-Prot W32/Upatre.ED.gen!Eldorado 20151008
F-Secure Trojan.GenericKD.2780658 20151008
Fortinet W32/Monlin.GK!tr 20151008
GData Trojan.GenericKD.2780658 20151008
Ikarus Trojan-Downloader.Win32.Waski 20151008
Kaspersky Trojan.Win32.Inject.vjcg 20151008
Malwarebytes Trojan.Upatre 20151008
McAfee Upatre-FACH!41D44D26A54A 20151008
McAfee-GW-Edition BehavesLike.Win32.Backdoor.qm 20151008
MicroWorld-eScan Trojan.GenericKD.2780658 20151008
Microsoft TrojanDownloader:Win32/Upatre 20151008
Panda Generic Suspicious 20151007
Qihoo-360 Win32/Trojan.Multi.daf 20151008
Rising PE:Malware.RDM.43!5.31[F1] 20151007
Sophos Mal/Upatre-AF 20151008
Tencent Win32.Trojan.Fakedoc.Auto 20151008

Qui télécharge Dyre / Dyreza, un programme spécialisé dans le vol de données bancaires.

SHA256: f9fdac66f35e61eae2eb6402cbf07d6454219b2f9cd5164cf580c1aaf7177887
Nom du fichier : nakezoco.exe
Ratio de détection : 17 / 56

Antivirus Résultat Mise à jour
Ad-Aware Trojan.GenericKD.2781530 20151008
Arcabit Trojan.Generic.D2A715A 20151008
Avast Win32:Malware-gen 20151008
Avira TR/Crypt.ZPACK.186413 20151008
BitDefender Trojan.GenericKD.2781530 20151008
DrWeb Trojan.DownLoader16.63722 20151008
ESET-NOD32 a variant of Win32/Kryptik.DZLD 20151008
Emsisoft Trojan.GenericKD.2781530 (B) 20151008
F-Secure Trojan.GenericKD.2781530 20151008
Fortinet W32/Kryptik.DZLD!tr 20151008
GData Win32.Trojan.Agent.64GAKT 20151008
Ikarus Trojan.Injector 20151008
Kaspersky Trojan.Win32.Yakes.mqvj 20151008
MicroWorld-eScan Trojan.GenericKD.2781530 20151008
Qihoo-360 HEUR/QVM20.1.Malware.Gen 20151008
Sophos Mal/Generic-S 20151008
ViRobot Trojan.Win32.A.Yakes.614400.C[h] 20151008