A journey inside Gozi campaign
Goziis a well known bankin trojan. In this blogpost, I'll try to take a look deeper at a recent campaign for understanding how that works.Let's try to understand all the chain of infection from spambot to Gozi dropper.@dhlexpressuk #phishing
— guga (@illegalFawn) 7 novembre 2016
Subj:DHL Italy - documenti importanti
File:HK5863.js
MD5:f356cb644971384240e05a5d22cd149f
VT:4/50@malwrhunterteam pic.twitter.com/hNWULLHwq0
The spambot - Onliner

-
Checker: You provide a list of compromised smtp accounts to the spambot and some bots test if credentials are valids.


Gozi spam
Fingerprinting campaign
Let's focus on Gozi campaign. This campaign is quite interesting. First of all, botmaster(s) starts by a fingerprinting round. They send some random emails with a hidden image inside: When a victim open this email, some information are leaked to "http://conceptcreationnv.com/2015/cgi-bin/{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}{1|2|3|4|5|6|7|8|9}.gif?{email}". These information (User Agent, IP etc) are usefull for the botmaster because he can indentify specifics groups of users (Windows users for example). The script used for victims classification: Output for Windows users: This spam campaign is maybe used for tests purpose or for target identification.Gozi campaign
After the fingerprinting campaign, the spambot is used for spreading a dropper which leads to Gozi . This JScript dropper is spread via fake invoices; Some example of spams templates used during the campaign: DHL invoce: Insurance invoce: Spam targeting Hotel: Fake invoice


Annexes
Spambot
- spambot.exe - b5c87cab2ff99d1e4b4c3ee897b07869fa8f6a63fbd27018f589c105faf91fcd
- CheckerSMTPv5.dll - 1cae16cb11c32aaa0cb190189d88811288e06df7cccda6473409de3ea5c7b633
- MailerSMTPv6.dll - 026df17589f9854a34a49ac097c5f8e3b99473c61e853be18050d458ae20113b
- Full list of r4.php - https://pastebin.com/fht6G6pe
- r4.php - https://pastebin.com/fxLvrM06
Gozi samples
- 6b15aa3f3d6bb1c308974fc87bd38ceb2ee337fd3495ebe6c6e7157a85e914cb
- 14b05f0bd0ca6e169a8d4be542a4165c4266a0419c1d0d857b98b4d84619bdf7
- 4f3f957334bcbde8462f9215fd20d6fd6363c449e07bbf49f30428399c9f6e57
- 9f298cee96c9de4ff85524f99fc34db3a11726ddd8c4fcdf8e2d79ef13437057
- fd11e035295639b19dfe418514c91159b3f50ea8dc350c36b63a9363e52f4533
- d843403b871a353020bffdedd9c4905e34ed195c1222c3bfd3567c97eb4f69a4
- a194d0ef0d27bd07ec22bb4ebc739847c589b4307603b6d65cf1f3fbdd19f6cd
- d4b2377c5f9af91cc693fce967f3049ab4c6ec75c162276b584002946203a770
Its very nice informative article. thanks for sharing such great article hope keep sharing such kind of article email extractor
RépondreSupprimerassez vous
RépondreSupprimerYour article reflects the issues people care about. The article provides timely information that reflects multi-dimensional views from multiple perspectives. I look forward to reading quality articles containing timely information from you. Thank you for sharing this great information.خرید بلیط هواپیما با گسترش روز افزون استفاده از اینترنت دچار تحولات زیادی شده است به طوری که امروزه بلیط هواپیما به مقاصد مختلف را می توان به صورت اینترنتی خریداری کرد. این روش دارای مزایای زیادی است که موجب می شود متقاضیان زیادی از این روش به صورت گسترده و روز افزون استفاده کنند. صرفه جویی در زمان و هزینه، سرعت و جابجایی در سفرهای بین شهری مسافران، باعث شده تا متقاضیان زیادی از روش خرید اینترنتی بلیط هواپیما استفاده نمایند. حق انتخاب گسترده تر مسافران یکی دیگر از مزایای استفاده از اینترنت در به دست آوردن بلیط دلخواه می باشد. با مراجعه به سایت تیک بان می توانید انواع بلیط هواپیما را به مقاصد مختلف و با قیمت های ارزان و اقتصادی مشاهده کرده و بهترین گزینه را رزرو کنید. - خرید بلیط هواپیما تیک بان - خرید بلیط اتوبوس - خرید بلیط قطار - چارتر
RépondreSupprimerIn case you're searching for a spot to share your movement tips or stories, why not compose a visitor post for Write for us Travel Magazine.
RépondreSupprimerI am very impressed with your article. if you want to restore your accounting files contact us call us on QuickBooks technical support number.QuickBooks support phone number
RépondreSupprimerGarmin Support Center is the place you will discover answers to as often as possible posed inquiries and assets to help with the entirety of your Garmin items. Garmin express iPhone
RépondreSupprimeryespornplease
RépondreSupprimeryespornplease
yespornplease
You done an excellent job.
RépondreSupprimerhttps://proscrack.co/voicemod-pro-crack/
Learn how to Fix Error while HP Printer Wireless Setup so that you can print to it from any device connected to the same network.
RépondreSupprimer
RépondreSupprimerیکی از مزایای رزرو اینترنتی هتل از جااینجاس امکان مشاهده ویژگی ها، امکانات و قیمت هتل روی سایت است. شما می توانید هر شهری را که می خواهید انتخاب کنید، هتل های آن را بررسی کرده و آنها را با بهترین قیمت رزرو کنید.
قاصدک اس ام اس این امکان را برایتان فراهم کرده است تا پیامک های خود را بر اساس سن، جنسیت، منطقه، تحصیلات و بسیاری از موارد دیگر ارسال کنید. همچنین امکان خرید آنلاین پنل هم برای شما فراهم شده است.
RépondreSupprimerThis blog is very useful for me, helps me learn a lot. I appreciate your kindness in sharing this useful with you and me!
RépondreSupprimerVerizon's email service is widely regarded as one of the best in the world. It has a powerful feature set and a fantastic user interface, making it a top-notch emailing platform. If you can't remember your Verizon password and are having trouble logging in to your account, you can easily Change Verizon Email Password by visiting our website and following our guidelines.