Phishing is nog steeds een flink probleem waar nog veel mensen intuinen. Hoe kun je nu zelf bij een verdachte e-mail nagaan of je beduveld wordt of niet?
Voorheen werden dit soort mails vooral gebruikt om bank- en creditcardgegevens te ontfutselen. Naast e-mail wordt phishing veel ingezet voor het verspreiden van malware/ ransomware binnen een thuis- of bedrijfsnetwerk om zoveel mogelijk informatie te verzamelen of losgeld te eisen. Het laat een spoor van vernieling en een ongemakkelijk gevoel bij slachtoffers achter (een wijze les voor een betere back-upstrategie). Overduidelijk slecht geschreven tekst, teksten in het Russisch, Engels of onsamenhangende zinnen die nergens op slaan zijn een duidelijk signaal om een e-mail direct naar de spambox of prullenbak te verbannen. Maar phishingmails en andere dubieuze e-mails worden steeds geraffineerder.
Verdachte e-mail: een praktijkvoorbeeld
We nemen een mail uit de archieven als voorbeeld (zie afbeelding). Daar lijkt op het eerste gezicht vrij weinig mis mee: het is geschreven in goed Nederlands en zelfs de adresgegevens van de ontvanger staan er correct in. En het is afkomstig van een normaal ogend .nl-domein. Maar er wordt gelinkt naar een Word-document, een truc die veel wordt toegepast om via macro’s scripts uit te voeren en je te infecteren met malware.
De eerste stap is de headers van het bericht erbij pakken om te controleren of er vreemde constructies worden gebruikt. De e-mail lijkt inderdaad van vanloosbroektransport.nl te komen. Zij hebben echter geen eigen mailserver, maar maken gebruik van host23.registrar-servers.com. Dit hoeft op zich niet vreemd te zijn, want hoe je dit instelt is afhankelijk van de gebruikte hosting. De domeinnaamgegevens opvragen via www.sidn.nl laat wel verdachte informatie zien. De domeinnaam is pas 1 dag voordat het bericht is verstuurd geregistreerd. De persoonsgegevens zitten achter privacyprotect.org verstopt, dat is nogal vreemd voor een legitiem opererend transportbedrijf. De website zelf kan zelfs heel netjes en normaal ogen, of je meteen overdonderen met malware via pop-ups of andere ongure content. Vaak werken de websites geheel niet, ook weer een signaal dat er iets niet in de haak is.
Gelinkte bestanden
Als onderzoeker, securitybedrijf of gevorderde gebruiker kun je nog verder gaan om verdachte e-mail helemaal uit te pluizen. We gaan ons nu richten op de link in het bericht die naar een Word-document verwijst. Omdat je niet weet wat er gebeurt als je op de link klikt of het document downloadt, kun je de volgende stappen het beste uitvoeren binnen een virtuele machine waar je een snapshot van gemaakt hebt. Het Word-document kun je op verschillende manieren binnenhalen. Een tool die vaak wordt gebruikt voor dit soort doeleinden is wget. Dit programma is zowel onder Linux als Windows te gebruiken. Nadat je het document hebt binnengehaald is het tijd om het onder de loep te nemen. Dit kan statisch of dynamisch.
Met statische analyse ga je kijken hoe het Word-document in elkaar zit, welke eigenschappen het bezit en of je kan zien of het dubieus is of niet. Een handige tool voor statische analyse is oledump van Didier Stevens. Het nadeel van statische analyse is dat het (veel) tijd kost voordat je weet wat het precies doet. Dynamische analyse is makkelijker en sneller: je opent het Word-document en kijkt wat er gebeurt. Een kant-en-klare sandbox gebruiken is ook een optie. Deze kan je zelf downloaden en installeren. Cuckoo is een bekende sandbox die gratis is te downloaden en eenvoudig is in gebruik. Je installeert hem, geeft het verdachte bestand door en in een paar minuten geeft de tool je een gedetailleerd rapport met daarin wat het bestand doet zodra je het uitvoert in een realistische maar veilig afgesloten omgeving.
Een online sandbox gebruiken kan ook. Een bekende is reverse.it, waar we het bewuste Word-document naar hebben geüpload. Als we naar de pagina met resultaten gaan, dan zien we relatief weinig gebeuren. Er worden geen verbindingen opgezet naar servers, er worden geen bestanden gedownload, kortom er gebeurt vrij weinig. Wel zit er een VBA-script in verstopt, een aanknopingspunt om mee verder te gaan.
Verdacht script
We kunnen met oledump de VBA-code uit het document halen en analyseren, of besluiten ons eigen virtuele systeem te infecteren (dynamische analyse). Als we onze gesnapshotte virtuele machine infecteren en vervolgens de eventuele malware eraf halen en de snapshot restoren, kunnen we het daarna gaan analyseren. Na het starten van het document zien we met processhacker dat het regasm.exe uitvoert. Dit proces wordt vaak gebruikt om malware te verbloemen. Nu kunnen we met processhacker het geheugen bekijken van regasm.exe en al snel zien we de malware.
We dumpen dit gedeelte van het geheugen via processhacker en hebben nu de uiteindelijke malware te pakken die obfuscated is via confuserex, wederom een veel misbruikte tool binnen de malwarescene. Omdat dynamische analyse hier ons niet verder meer gaat helpen moeten we overgaan op statische analyse. Gelukkig zijn er aardig wat filmpjes en informatie beschikbaar die beschrijven hoe we de binary kunnen deobfuscaten. Nu kan met een standaard decompiler, zoals dotpeek, de malware goed worden geanalyseerd en weten we hoe hij te werk gaat.
Jornt van der Wiel, Kaspersky
Tips om jezelf online te wapenen vind je onder andere in ‘Optimale security’, c’t 4/2018
