Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Emotet riprende a colpire l’Italia con una massiccia campagna di spam. 49 i C2 coinvolti

Redazione RHC : 8 Marzo 2023 13:45

Il CERT-AGID, ha pubblicato recentemente un articolo che riporta che la botnet Emotet, precisamente la versione Epoch4, si sta diffondendo sempre di più in Italia e dopo una pausa di 4 mesi, Emotet riparte con una campagna massiva rivolta ad utenti italiani.

L’ultima attività di Emotet osservata in Italia risale al mese di novembre 2022 ed è durata appena una settimana, precisamente dal 3 al 9 novembre, nel corso della quale il CERT-AGID ha registrato 16 campagne veicolate tramite email con allegati ZIP ed XLS che hanno sfruttato le botnet Epoch4 ed Epoch5.

La campagna odierna, individuata e contrastata dal CERT-AGID, non interessa un tema in particolare ma riprende conversazioni già intercorse, fornendo in allegato un file ZIP (in questo caso “Copia Fattura.zip“) contenente un file di tipo DOC di oltre 500MB.

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?

Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". 
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.  
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. 
Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com
Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]



Supporta RHC attraverso:
 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
 

La dimensione esagerata del file DOC è voluta per evitare che l’utente possa sottoporla ad analisi sulle sandbox online.

Il contenuto reale del file DOC risulta essere poco più di 300 Kb. ai quali sono stati aggiunti una serie di null byte fino a superare la dimensione di 500MB.

Come già osservato in molte altre campagne simili, il file DOC è predisposto con una macro malevola, leggermente offuscata, che ha lo scopo di scaricare ulteriori file (PE o ZIP) ed eseguirli.

Le URL da cui scaricare i file sono offuscate e vengono testate, una ad una, finché non viene rilasciato il file richiesto.

A tal proposito, il CERT-AGID ha prodotto un semplice script python che consente, adattandolo di volta in volta al vba estratto tramite oletools, di deoffuscare le macro utilizzate per questa campagna e recuperare rapidamente le dropurl:

import re

def decode(s, mp, n):
	
	return "".join([s[mp[i]-1] for i in range(0, n)])		

with open("macro.vba", "r") as f:
	lines = f.readlines()
	
qawel = re.compile(r"^(\w+)\s*=\s*qawel\(")
arr = re.compile(r"^\w+\((\d+)\)\s*=\s*(\d+)$")
asg = re.compile(r'^\w+\s*=\s*"(.*?)"$')
num = re.compile(r'^\w+\s*=\s*(\d+)$')

res = []

for i in range(0, len(lines)):
	l = lines[i]
	qm = qawel.search(l)
	if not qm:
		res.append(l)
		continue
		
	j = i - 1
	mp = [0]*100
	while m := arr.search(lines[j]):

		mp[int(m.group(1))] = int(m.group(2))
		j -= 1
		
	m = asg.search(lines[j])
	s = m.group(1)
	j -= 1
	
	m = num.search(lines[j])
	n = int(m.group(1))
	
	dec = decode(s, mp, n)
	v = qm.group(1)
	
	k = i - j + 1
	res = res[:-k]

	res.append(f"{v} = \"{dec}\n\"")

with open("macro.deob.vba", "w") as f:
	f.writelines(res)	

Il risultato ottenuto dallo script consente di leggere chiaramente il codice della macro e quindi la lista delle dropurl che utilizzerà per scaricare le componenti malevole:

Il file ottenuto dalle dropurl è un file ZIP che contiene un PE, in particolare una DLL di oltre 500MB, anche in questo caso ripiena di null byte, che successivamente eseguirà tramite “regsvr32”, come si evince dalla macro deoffuscata:

C2 rilevati in questa campagna sono 49 ed afferiscono alla botnet Emotet denominata Epoch4.

Emotet Botnet Epoch4

Chi è il CERT-AGID

AGID, in forza del suo mandato istituzionale ed in particolare degli articoli 14bis e 51 del D. Lgs 5 marzo 2005 n. 82 (CAD) ed in linea con gli obiettivi descritti dal “Piano triennale per l’informatica nella pubblica amministrazione” si impegna, tramite il CERT-AGID, a mantenere e sviluppare servizi di sicurezza preventivi e funzioni di accompagnamento utili per la crescita e la diffusione della cultura della sicurezza informatica.

L’art. 51, comma 1-bis del CAD (Sicurezza e disponibilità dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni) indica che AGID attua, per quanto di competenza e in raccordo con le altre autorità competenti in materia, il Quadro strategico nazionale per la sicurezza dello spazio cibernetico e il Piano nazionale per la sicurezza cibernetica e la sicurezza informatica.

AGID svolge quindi un ruolo significativo nella tutela della sicurezza nazionale in ambito di sicurezza cibernetica, di prevenzione e di diffusione della cultura di sicurezza informatica nella pubblica amministrazione.

Indicatori di Compromissione

Gli IoC relativi a questa campagna sono stati già condivisi con le organizzazioni accreditate al flusso IoC del CERT-AgID.

Link: Download IoC

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Cosa sono le Google dorks? Scopriamole assieme
Di Massimiliano Brolli - 27/09/2025

Le Google dorks, sono diventate sinonimo di hacking, che può essere appreso da qualsiasi utente del World Wide Web. Anche se il termine si concentra su Google, ci sono alcuni comandi che funzionano a...

Identità digitali italiane in vendita: pacchetti KYC a 300 dollari sul Dark Web
Di Redazione RHC - 27/09/2025

Recentemente, un avviso sul noto forum underground “DarkForum” ha riacceso i riflettori sul crescente e pericoloso mercato della compravendita di documenti d’identità rubati o falsificati. L’...

Due bug critici in Cisco ASA e FTD: score 9.9 e rischio esecuzione di codice remoto
Di Redazione RHC - 25/09/2025

Cisco ha reso note due vulnerabilità critiche che interessano i propri firewall Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD), oltre ad altri prodotti di re...

Linux balla la samba… ma cade in una race condition. Una falla critica minaccia il kernel
Di Redazione RHC - 25/09/2025

Il ricercatore Nicholas Zubrisky di Trend Research ha segnalato una vulnerabilità critica nel componente ksmbd del kernel Linux che consente ad aggressori remoti di eseguire codice arbitrario con i m...

Criptovalute, ransomware e hamburger: la combo fatale per Scattered Spider
Di Redazione RHC - 25/09/2025

Il Dipartimento di Giustizia degli Stati Uniti e la polizia britannica hanno incriminato Talha Jubair, 19 anni, residente nell’East London, che gli investigatori ritengono essere un membro chiave di...