vendredi 20 janvier 2017

A journey inside Gozi campaign

A journey inside Gozi campaign


Goziis a well known bankin trojan. In this blogpost, I'll try to take a look deeper at a recent campaign for understanding how that works.
Let's try to understand all the chain of infection from spambot to Gozi dropper.

The spambot - Onliner

This Gozi campaign is based on a SpamBot called "Onliner". As we can see in the C&C Panel, this spambot has 2 main features:
  • Checker: You provide a list of compromised smtp accounts to the spambot and some bots test if credentials are valids.
I've found around 80 millions compromised SMTP accounts on the checker module. Some of them come from public leaks (like badoo, linkedin...) and some other come from unknown sources.
  • Mailer: The spam mailer:

    Mailer requests details:
If we look at the changelog, this spambot seems to be quite young:

As we can see in the PHP source code, it seems that a SMTPBruteForcer exists:


Gozi spam

Fingerprinting campaign

Let's focus on Gozi campaign. This campaign is quite interesting. First of all, botmaster(s) starts by a fingerprinting round.
They send some random emails with a hidden image inside:

When a victim open this email, some information are leaked to "http://conceptcreationnv.com/2015/cgi-bin/{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}.gif?{email}". These information (User Agent, IP etc) are usefull for the botmaster because he can indentify specifics groups of users (Windows users for example).
The script used for victims classification:

Output for Windows users:

This spam campaign is maybe used for tests purpose or for target identification.

Gozi campaign

After the fingerprinting campaign, the spambot is used for spreading a dropper which leads to Gozi .
This JScript dropper is spread via fake invoices;
Some example of spams templates used during the campaign:
DHL invoce:

Insurance invoce:

Spam targeting Hotel:

Fake invoice
The first stage is a dropper in JScript - fattura_93785849.js:

The JScript tries to contact www.xxxxxx.xxx/r4.php. r4.php return another JScript code. This is the main component:

eval(r4.php?cmd=d) returns another JScript used for "Drop and Launch" Gozi . This script can be in 7 differents form:

This dropper is fully in JScript \o/
The C&C part is open, it's possible to retrieves some statistics:

Big picture of this JSDropper:

I've seen some switch between JSDropper and doc+macro during some times (https://www.virustotal.com/fr/url/6c8d675e5a2dd055ce54aa0bea80465a128dff5f3da6ddb01ae9a89ed24ff129/analysis/)
It's look like Gozi campaigns are not a so big deal...


Annexes

Spambot

Gozi samples

OTX - https://otx.alienvault.com/pulse/5851b5d287d2d95d361dd743/
Publié par à
Libellés : , , , , ,

12 commentaires:

  1. Smith25 septembre 2018 à 06:18

    Its very nice informative article. thanks for sharing such great article hope keep sharing such kind of article email extractor

    RépondreSupprimer
  2. Unknown8 septembre 2019 à 03:07

    assez vous

    RépondreSupprimer
  3. Night_Stalker18 mai 2020 à 01:36

    Your article reflects the issues people care about. The article provides timely information that reflects multi-dimensional views from multiple perspectives. I look forward to reading quality articles containing timely information from you. Thank you for sharing this great information.خرید بلیط هواپیما با گسترش روز افزون استفاده از اینترنت دچار تحولات زیادی شده است به طوری که امروزه بلیط هواپیما به مقاصد مختلف را می توان به صورت اینترنتی خریداری کرد. این روش دارای مزایای زیادی است که موجب می شود متقاضیان زیادی از این روش به صورت گسترده و روز افزون استفاده کنند. صرفه جویی در زمان و هزینه، سرعت و جابجایی در سفرهای بین شهری مسافران، باعث شده تا متقاضیان زیادی از روش خرید اینترنتی بلیط هواپیما استفاده نمایند. حق انتخاب گسترده تر مسافران یکی دیگر از مزایای استفاده از اینترنت در به دست آوردن بلیط دلخواه می باشد. با مراجعه به سایت تیک بان می توانید انواع بلیط هواپیما را به مقاصد مختلف و با قیمت های ارزان و اقتصادی مشاهده کرده و بهترین گزینه را رزرو کنید. - خرید بلیط هواپیما تیک بان - خرید بلیط اتوبوس - خرید بلیط قطار - چارتر

    RépondreSupprimer
  4. kevin hart26 juillet 2020 à 12:15

    In case you're searching for a spot to share your movement tips or stories, why not compose a visitor post for Write for us Travel Magazine.

    RépondreSupprimer
  5. sam smith15 août 2020 à 10:03

    I am very impressed with your article. if you want to restore your accounting files contact us call us on QuickBooks technical support number.QuickBooks support phone number

    RépondreSupprimer
  6. augustwalker2 septembre 2020 à 04:17

    Garmin Support Center is the place you will discover answers to as often as possible posed inquiries and assets to help with the entirety of your Garmin items. Garmin express iPhone

    RépondreSupprimer
  7. michael30 septembre 2020 à 02:20

    yespornplease
    yespornplease
    yespornplease

    RépondreSupprimer
  8. azlan meher4 novembre 2020 à 09:46

    You done an excellent job.
    https://proscrack.co/voicemod-pro-crack/

    RépondreSupprimer
  9. Steven Salvatore2 décembre 2020 à 04:03

    Learn how to Fix Error while HP Printer Wireless Setup so that you can print to it from any device connected to the same network.

    RépondreSupprimer
  10. minooo6 janvier 2021 à 03:24


    یکی از مزایای رزرو اینترنتی هتل از جااینجاس امکان مشاهده ویژگی ها، امکانات و قیمت هتل روی سایت است. شما می توانید هر شهری را که می خواهید انتخاب کنید، هتل های آن را بررسی کرده و آنها را با بهترین قیمت رزرو کنید.

    RépondreSupprimer
  11. hamideh11 janvier 2021 à 12:05

    قاصدک اس ام اس این امکان را برایتان فراهم کرده است تا پیامک های خود را بر اساس سن، جنسیت، منطقه، تحصیلات و بسیاری از موارد دیگر ارسال کنید. همچنین امکان خرید آنلاین پنل هم برای شما فراهم شده است.

    RépondreSupprimer
  12. Error Code Expert19 mars 2021 à 05:36

    This blog is very useful for me, helps me learn a lot. I appreciate your kindness in sharing this useful with you and me!
    Verizon's email service is widely regarded as one of the best in the world. It has a powerful feature set and a fantastic user interface, making it a top-notch emailing platform. If you can't remember your Verizon password and are having trouble logging in to your account, you can easily Change Verizon Email Password by visiting our website and following our guidelines.

    RépondreSupprimer

Inscription à : Publier les commentaires (Atom)