Trojan Gootkit / Wonton / Xswkit

[Malekal_morte]

Trend-Micro a publié un bulletin sur une campagne de mails malicieux active en France.
http://blog.trendmicro.com/trendlabs-se ... authority/

Gootkit est un banker de type "filess" ( lire Malware 'FileLess' : PoweLiks, Kovter, Gootkit.

Ce dernier utilise des courriels se faisant passer pour le ministère de la Justice.

Copy du jugement (translated to: “Copy of judgment”)
L’information sur la comptabilité (translated to: “The information on accounting”)
Paiement (translated to: “Payment”)
Urgent

La pièce jointe est un document Microsoft Word avec un scan d'un document officiel :

gootkit1.png

Le document Word embarque une macro malveillante chargée de télécharger et d'exécuter le malware sur Windows ( lire : Documents XLS malveillants : macros-commandes VBA+PowerShell ).

La partie intéressante est qu'il exécute "explorer.exe" avec le paramètre "issdb" afin de spécifier le nom d'un fichier SDB ( Application Compatibility Database ) dans le but de télécharger Gootkit.

La méthode de désinfection de Gootkit / Wonton est sur supprimer-virus.com

[Malekal_morte]

Une mise à jour a été publiée pour bloquer l'évalation de privilèges sur sdbinst.exe décrite dans le message précédent.

#KB3045645 removes AutoElevation from sdbinst.exe for all supported versions below win10 (already removed here). Goodbye #Gootkit methods ;)

KB3045645_Gootkit.png

[ѠOOT]

Bonjour,

Simplement pour signaler aux lecteurs avisés la présence de travaux techniques de qualité. Une excellente analyse sur les mécanismes de persistance "Analyzing Gootkit's persistence mechanism (new ASEP inside!)" publiée par le CERT de la Société Générale ainsi que la reconstruction partielle fournie par EP_X0FF du forum Kernelmode concernant la méthode de contournement de l'UAC utilisée par Gootkit. Le billet "Gootkit banking Trojan jumps the Channel" de Proofpoint publié le 22 décembre 2015. En mai 2016, la section e-crime du groupe espagnol S21sec propose une ingénierie inverse de Xswkit / Gootkit.

[Malekal_morte]

Plusieurs campagnes Malvertising poussent Trojan Gootkit notamment par Nuclear Exploit Kit.

[Malekal_morte]

Les campagnes pour ce Trojan continuent.
> Trojan Gootkit.