Faux mail Chronopost et virus

Vu passer un mail malicieux Chronopost, qui est d’ailleurs de plus en plus utilisé comme source de SPAM malicieux ou non.
Du pur classique qui pointe vers un VPS Français.

logo_chronopost

Le mail :
mail_malicieux_chronopost

avec un lien malicieux :

mail_malicieux_chronopost_2

et qui sans surprise mène à un exécutable malicieux : http://bwc.dole.gov.ph/abx/Chronopost-Colis.exe

mail_malicieux_chronopost_4

 

bwc.dole.gov.ph has address 112.199.100.77

inetnum: 112.199.0.0 - 112.199.127.255
netname: ETPI
descr: Eastern Telecom Philippines Inc.
country: PH
admin-c: RC536-AP

La détection VirusTotal de l’exécutable :

 

SHA256:ea3049624ea76ac35126a973df1a941ce67f1262af775a161a8be2f67dc7f9a5
Nom du fichier :Chronopost-Colis.exe
Ratio de détection :7 / 57
Date d’analyse :2016-09-14 12:36:37 UTC (il y a 1 minute)
AntivirusRésultatMise à jour
CrowdStrike Falcon (ML)malicious_confidence_96% (D)20160725
Invinceavirus.win32.sality.at20160912
KasperskyHEUR:Packed.NSIS.MyxaH.gen20160914
McAfee-GW-EditionBehavesLike.Win32.Ransom.dc20160914
Qihoo-360HEUR/QVM42.0.0000.Malware.Gen20160914
RisingMalware.Heuristic!ET (rdm+)20160914
SUPERAntiSpywareTrojan.Agent/Gen-Kovter20160914

Le mail est envoyé depuis une adresse ysy@free.fr à partir d’une machine 185.81.157.168 (VPS – Inulogic Virtual Private Servers) :

mail_malicieux_chronopost_3

Un malware qui va aller farfouiller dans les profils des navigateurs WEB pour voler des mots de passe WEB.

malware_stealer

Le malware référence l’adresse resultip.ddns.net – encore un VPS chez Inulogic.

malware_stealer_2

resultip.ddns.net has address 185.81.157.243


inetnum: 185.81.157.0 - 185.81.157.255
netname: INU-VPS01
descr: Inulogic Virtual Private Servers
country: FR
admin-c: GR8035-RIPE

Le serveur ne tournait pas au moment du test.

Il s’agit d’un RAT (Remote Tools Access) et plus précisément de  Netwire RAT, un descriptif par Xylitol est disponible sur cette page : http://www.xylibox.com/2012/07/netwire-first-multi-platform-rat.html

Comment lire d'autres tutoriels de malekal.com ?

Si le site vous a aidé, svp, débloquez les bloqueurs de publicités, n'hésitez pas non plus à partager l'article ou le site sur les réseaux sociaux.

Pour pouvoir lire plus d'articles et tutoriels, utilisez le menu en haut du site. Plein d'articles et tutos utiles vous attendent !

Besoin d'aide ?

Posez votre question ou soumettez votre problème sur le forum malekal.com pour obtenir une aide efficace : Aller sur le forum malekal.com
(Visited 281 times, 9 visits today)

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *