Libraesva : nuova ondata di campagne malware EXCEL 4.0 che abusano della funzione macro FORMULA

Estratto , tradotto, da un articolo di :
Rodolfo Saccani / Responsabile ricerca e sviluppo sicurezza @ Libraesva
L’articolo originale lo puoi trovare qui

MVBA è stato introdotto in Excel 5.0. Prima di allora Excel aveva solo macro XLM, che sono ancora supportate oggi.

Le macro XLM consentono di scrivere codice immettendo istruzioni direttamente nelle celle, proprio come le normali formule. In realtà sono chiamati macro-formule.

[omissis]

Ci sono alcune dichiarazioni tra queste macro-formule che consentono l’esecuzione di codice dannoso, queste sono denominate EXEC, RUN e CALL. Il mese scorso, nell’aprile 2020, è circolata un’ondata di malware che abusa di queste chiamate.

A maggio abbiamo visto una nuova ondata che apparentemente abusava ancora delle macro XLM ma senza chiamare EXEC, RUN o CALL. Al momento in cui li abbiamo ottenuti, la maggior parte di questi campioni aveva un tasso di rilevamento pari a 0 su virustotal, quindi sembra che valga la pena investigarli.

[omissis]

Alcuni di questi file stavano usando trucchi aggiuntivi per confondere l’analisi, come mettere le macro in fogli “nascosti”. Alcuni hanno usato fogli “molto nascosti”, altri sono stati protetti con la password “VelvetSweatshop” (che è un trucco usato da Microsoft per definire documenti di sola lettura). C’è anche una grande variabilità nei nomi dei file e nelle campagne e-mail. Non perderò tempo con questi dettagli e andrò subito al punto.

[omissis]

[Dall’analisi dei campioni , si e’ visto che tutti hanno in comune] l’abuso della macro-formula FORMULA. La denominazione ricorsiva può creare confusione, quindi lasciatemi fornire un po ‘di chiarimenti: proprio come qualsiasi altra istruzione formula (come IF o SUM per esempio), l’istruzione FORMULA può essere inserita in una cella sotto forma di formula. Questa affermazione particolare sembra essere denominata FORMULA stessa.

Cosa fa questa dichiarazione FORMULA? Immette una formula nella cella attiva (o in un riferimento). Fondamentalmente ciò che viene dato come parametro a questa chiamata diventa una fomula.

Generazione indiretta di formule se lo desideri e, sì, è pericoloso come sembra.

[omissis]

Questo è fondamentalmente il comportamento di questi campioni dannosi: creano una formula raccogliendo dati da molte celle diverse e apportando alcune trasformazioni. Quindi applicano la formula usando l’istruzione FORMULA.FILL (o una delle sue varianti, vedi il riferimento alle funzioni collegato sopra se sei interessato).

Il testo esatto del FORMULA è costruito in fase di esecuzione e ciò garantisce l’offuscamento che sembra essere efficace dato il punteggio zero o molto basso ottenuto da questi campioni su Virustotal.

[omissis]

Non siamo interessati a retroingegnerizzare ogni campione per scoprire i dettagli del comportamento. Come società di sicurezza della posta elettronica ci concentriamo sui metodi e sugli strumenti utilizzati dagli aggressori piuttosto che sulla specifica variante di malware.

Il nostro compito è bloccare queste minacce sul gateway, sappiamo che l’approccio del riconoscimento di elementi dannosi noti non è efficace e pertanto ci concentriamo sulla rimozione degli strumenti utilizzati dagli aggressori.

La filosofia del nostro sandbox QuickSand è più simile a un firewall: quando i nostri sistemi vedono un modello come questo, non si preoccupano davvero del reverse engineering del comportamento reale, non si preoccupano nemmeno di riconoscere se si tratta di una variante di malware nota o uno nuovo.

Che sia diretto o indiretto, non è consentito alcun modo di eseguire materiale per i documenti consegnati via e-mail. Questo approccio è meno soggetto all’evasione ed è proattivo: blocca le varianti attuali e future, note e sconosciute.

Il basso tasso di rilevamento di questi campioni su virustotal e su molti servizi di sandboxing basati sulla virtualizzazione conferma che, per essere efficace con le minacce in continua evoluzione, questo è un approccio migliore.

Estratto , tradotto, da un articolo di :
Rodolfo Saccani / Responsabile ricerca e sviluppo sicurezza @ Libraesva
L’articolo originale lo puoi trovare qui

16 Maggio 2020

Libra ESVA : come lavorano i livelli di analisi

Libraesva Email Security Gateway protegge la tua azienda identificando tutti i tipi di minacce diffusE via email.
Grazie a un motore dotato di apprendimento automatico, a 14 livelli di analisi avanzata e alle sandbox proprietarie, Libraesva Email Security Gateway fornisce una protezione a 360° contro tutte le minacce di nuova generazione quali Business Email Compromise (BEC), ransomware, phishing, trojan, virus, spam e malware.

GREYLISTING
La tecnica di greylisting genera una tripletta di dati per ogni messaggio email in arrivo:
▪ l’ indirizzo ip dell’host mittente
▪ l’ indirizzo e-mail del mittente
▪ l’indirizzo e-mail del destinatario
che viene poi controllata con le triplette registrate nel database.
Se questa tripletta non è ancora stata registrata, l’e-mail viene messa in “lista grigia” per un piccolo periodo di tempo, e viene rifiutata temporaneamente, perciò un server legittimo ritenterà l’invio dell’e-mail, mentre poiché la maggior parte dei server utilizzati dagli spammer non ritentano l’invio della mail, il messaggio spam non verrà mai recapitato al destinatario.

PUBLIC RBL CHECK
Tutti i sistemi antispam fanno uso delle Realtime Black List (RBL). A differenza di una blacklist, la real-time blacklist rifiuta tutti i messaggi provenienti da indirizzi TCP/IP noti per essere
fonti di spam o ospitare gli spammer. Grazie a queste liste, tutta la posta elettronica proveniente da tali indirizzi viene rifiutata.

LOCAL RBL CHECK
Libra Esva ha una esclusiva funzionalità che prevede l’utilizzo di una Local RBL dinamicamente aggiornata.
Il motore antispam mantiene una statistica oraria per le ultime 23 ore di ciascun indirizzo IP che manda mail attraverso Libra Esva. Le informazioni raccolte su ciascun indirizzo IP sono:
▪ il numero di mail spedite
▪ il numero di messaggi buoni
▪ il numero di messaggi di spam
Un particolare indirizzo IP verrà bloccato dal servizio Local RBL se avrà inviato più di n messaggi di spam nelle ultime 23 ore.

IP ANALYSIS
Libra Esva effettua una serie di analisi ulteriori sugli indirizzi IP dei mittenti, quali ad esempio il controllo dei DNS e la loro corretta configurazione.

SENDER AUTH
Dichiarare un indirizzo mittente falso è una pratica molto comune tra gli spammer! Tra i numerosi controlli per individuare falsi mittenti:
▪ Protocol Compliance (ad esempio RFC821)
▪ DNS Lookup
▪ Sender Policies
▪ SPF Checks (Sender Policy Framework)

RECIPIENT VERIFICATION
Molti spammer effettuano attacchi utilizzando indirizzi di destinatari invalidi. Libra Esva effettua la verifica dell’esistenza del destinatario sul mail server interno e rifiutando tutte le email non valide. Include un plugin LDAP per l’importazione da Microsoft Exchange ed un file import CSV per gli altri server.

NETWORK CHECKS
Libra Esva interroga in tempo reale alcuni database internet per lo spam, quali Razor, Pyzor e DCC. Se un indirizzo ip è in una o più di queste liste è buona probabilità che sia spam.

VIRUS SCANNING
Ogni messaggio in entrata ed in uscita viene accuratamente scansionato alla ricerca di Virus, Trojan, Malware.

CUSTOM LISTS
Libra Esva consente di mantenere Whitelists e Blacklists personalizzate per utente, dominio o generali.

IMAGE ANALYSIS
Il motore antispam include un plugin per l’analisi dello spam ad immagini; le immagini presenti all’interno di un messaggio email vengono analizzate alla ricerca di testi non permessi e immagini pornografiche.

ATTACHMENT ANALYSIS
Tutti gli allegati di posta elettronica vengono processati dal motore antispam e controllati con il fine di proteggere il destinatario da contenuti potenzialmente pericolosi o dannosi.

BAESYAN ANALYSIS
Basato sul calcolo delle probabilità e sull’inferenza statistica, il filtraggio bayesiano è uno dei metodi utilizzati da Libra Esva per stabilire se un’e-mail è spam.

SPAM SCORE
Come ultima istanza viene attribuito un punteggio ad ogni messaggio, indice dei risultati delle analisi effettuate.

16 Settembre 2019

Libra ESVA , 14 livelli di analisi delle email e 2 sandbox proprietare

Libraesva Email Security Gateway protegge la tua azienda identificando tutti i tipi di minacce diffusE via email.
Grazie a un motore dotato di apprendimento automatico, a 14 livelli di analisi avanzata e alle sandbox proprietarie, Libraesva Email Security Gateway fornisce una protezione a 360° contro tutte le minacce di nuova generazione quali Business Email Compromise (BEC), ransomware, phishing, trojan, virus, spam e malware.

 

Tecnologie Innovative e Motore di Scansione Multi-Livello
Libraesva Email Security Gateway fornisce una protezione completa
grazie a un motore di scansione multi-livello, a tre motori antivirus e
a tecnologie innovative come la URLSand e la QuickSand Sandbox, per
un’analisi approfondita di tutte le mail in entrata.

Protezione in Tempo Reale
Libraesva Email Security Gateway analizza il comportamento di ogni
email tramite tecnologie dotate di intelligenza artificiale e apprendimento
automatico, per fornire una protezione completa contro le minacce
avanzate. Il Team di specialisti Libraesva analizza il feedback proveniente
da ogni installazione Libraesva Email Security Gateway e aggiorna il
sistema in tempo reale così da rendere immediatamente disponibili tutti
gli aggiornamenti per i propri clienti.

Protezione Email in Uscita
Libraesva Email Security Gateway filtra anche la posta in uscita
proteggendo la reputazione della connettività dallo spam spedito tramite
botnet.

Efficace e Certificato
Libraesva Email Security Gateway ha ricevuto riconocimenti internazionali
e fornisce un’elevata protezione contro le tutte le minacce diffuse via email
e blocca lo spam fino al 99,99% (Virus Bullettin) con zero falsi positivi.

Threat Analysis Portal
Il nuovo Threat Analysis Portal permette agli utenti di visualizzare le
minacce bloccate dalla loro appliance e compararle con le statistiche
globali, raccogliere informazioni relativamente a: localizzazione di domini
malevoli analizzati dalla URLSandbox; percentuale delle email bloccate;
trend dei link malevoli bloccati dalla URLSand Sandbox; dettagli relativi
ai documenti bloccati dalla QuickSand Sandbox.

ANTI MALWARE
Grazie a un motore di scansione multi-livello, all’analisi di codici malevoli presenti negli allegati e a tecnologie dotate di intelligenza artificiale, Libraesva Email Security Gateway fornisce un’analisi completa per una protezione a 360° contro gli zero-day malware e ransomware nascosti in allegati Microsoft® Office™, file PDF e RTF.

ANTI PHISHING
Libraesva Email Security Gateway fornisce un’analisi approfondita e in tempo reale del comportamento delle email. La URLSand Sandbox identifica le nuove e ancora sconosciute minacce nascoste nelle URL inviate via email, bloccandole e proteggendo l’utente da attacchi di spear-phishing, malware zero-day e ransomware.
Ogni URL presente in ogni mail viene analizzata in tempo reale, al momento di ogni click, per determinare la sicurezza della pagina web a cui rimanda.

BUSINESS EMAIL COMPROMISE PROTECTION
Le email di spear-phishing rappresentano l’esempio tipico di attacco mirato. Gli hackers conoscono i dettagli personali e mirano a colpire una persona o un’azienda conosciuta: Libraesva Email Security Gateway è un’efficace protezione anche contro questo tipo di attacchi. Le tecnologie proprietarie di rilevazione BEC di Libraesva Email Security Gateway consentono di prevenire e bloccare questi attacchi.

ANTI-SPAM
Libraesva Email Security Gateway fornisce un’elevata protezione dallo spam di ultima generazione, con uno Spam Catch-Rate pari al 99,99% (Virus Bullettin) e zero falsi positivi. Libraesva Email Security Gateway è sempre stato posizionato ai vertici della classifica Virus Bulletin dal 2010 ad oggi.

ANTI-VIRUS
Libraesva Email Security Gateway offre la possibilità di avere fino a tre motori di scansione anti virus per una maggiore protezione e reattività contro le minacce note. Oltre alla protezione ClamAV™, Libraesva Email Security Gateway integra la scansione di Avira™ e Bitdefender™ grazie ad una partnership tecnologica di lunga data.

 

Disponibile in tre modalità : On Premise, Private Cloud, Shared Cloud

2 Settembre 2019

Libra ESVA , protezione della posta : come funzionano le SandBox

Libraesva Email Security fornisce un’analisi approfondita e in tempo reale del comportamento di tutte le email in entrata, grazie a un motore di scansione multi-livello, a tre motori antivirus e a due tecnologie innovative come la URLSand e la QuickSand, dotate di intelligenza artificiale e apprendimento automatico, per una protezione completa contro le minacce più avanzate.
 
 

URLSAND SANDBOX
La URLSand Sandbox rileva le più recenti e ancora sconosciute minacce informatiche nascoste nei link diffusi via email, al fine di proteggere la tua azienda da phishing, ransomware e minacce zero-day.
L’analisi di sicurezza della pagina da visitare viene effettuata in tempo reale al momento del click e ogni volta che ci si collega.

COME FUNZIONA?
L’Email Security Gateway riscrive ogni link presente nelle email ricevute e li indirizza alla URLSand Sandbox.
Quando l’utente clicca sul link, la Sandbox visita la pagina web e verifica eventuali comportamenti sospetti e presenza di malware, decidendo se reindirizzare l’utente o bloccare il collegamento.

 
 
 

QUICKSAND SANDBOX
QuickSand Sandbox esegue un’analisi approfondita del codice degli allegati ricercando malware nascosti nei documenti di Microsoft ® Office TM, PDF, RTF e archivi compressi.
È in grado di sanitizzare i file disarmando i contenuti attivi pericolosi come malware, macro, javascript, consegnando solo documenti sicuri.

COME FUNZIONA?
QuickSand Sandbox analizza e classifica il contenuto attivo dei documenti Microsoft ® Office TM, PDF, RTF e archivi compressi, come macro e codice javascript. Il codice sospetto viene rimosso, e l’utente riceve un documento pulito.

 

 

26 Agosto 2019

Rilasciato Libra ESVA Archiver

Il Team Libraesva ha sviluppato una soluzione semplice ed efficace, dedicata all’ Email Governance, al Risk Management e all’Email Compliance, che fornisce un rapido ed efficiente servizio di eDiscovery:

Libraesva Email Archiver

Libraesva Email Archiver è una virtual appliance, pronta e funzionante in pochi minuti, che consente di importare le email da ogni mail server archiviandole in formato open senza alcun customer lock-in!

Benefici e caratteristiche principali

  • I dati vengono archiviati in format open e non è necessario alcun software per esportare il tuo archivio
  • Importazione delle email da SMTP Journaling, Exchange, Office365, POP3, IMAP, PST, archive eml
  • Supporto a volumi multipli: locali, in rete, cloud (any S3 compatible provider)
  • Duplica e mantenimento della struttura delle caselle di posta
  • Migliora le prestazioni del server e la produttività: scarica il tuo server di posta e consente di ottenere risultati di ricerca in un istante
  • Funzionalità per l’utente finale tramite Outlook plug-in a/o interfaccia web  interattiva

27 Novembre 2018