Esse e um caso onde o cibercriminoso fez a licao de casa em relacao as permissoes de acesso ao banco de dados do phishing.E mais um que tem como alvo o PayPal, so que ao inves de receber as informacoes das vitimas por e-mail ele insere em um banco de dados.Como tive acesso ao codigo-fonte PHP do phishing foi possivel saber onde estava esse banco e qual era o usuario e senha. Conforme vemos abaixo.Com essas informacoes pode-se utilizar qualquer client do MySQL para se conectar ao banco de dados. Foi o que fiz utilizando o MySQL Workbench, informando o host, user e password. A conexao com o banco ocorreu sem problemas.Quando realizei um SELECT para visualizar as informacoes que ja estavam inseridas na tabela log, o comando nao executou, permissao negada.A mensagem de erro fala que o usuario ccs a partir do meu endereco IP nao tem permissao de acesso para o comando SELECT na tabela log.Isso mostra que o cibercriminoso configurou corretamente as permissoes do usuario. Sabendo que o codigo-fonte poderia ser visualizado por outras pessoas ele permitiu que esse usuario so realizasse INSERTs no banco, o que ja e suficiente para os propositos do golpe.Interessante que muitas vezes nos mesmos nao configuramos nossas aplicacoes e banco de dados de forma tao precisa como ele fez, o usuario com a minima permissao possivel. Devemos ficar atentos para essa questao tambem.Ainda um outro detalhe desse phishing, analisando os nomes das variaveis vemos que algumas nao estao em ingles e sim em alemao:Vorname: NomeNachname: SobrenomeKreditkartennummer: Numero do cartao de creditoKarteninhaber: Titular do cartaoAblaufdatum1: Data de validade 1Ablaufdatum2: Data de validade 2Kontonummer: Numero da contaIsso pode dar pistas da nacionalidade do autor do codigo... ou nao. :) Nesse artigo inicio a analise detalhada de um malware curioso, aoinves de executar de uma so vez, ele faz execucoes recursivaspara atingir seus objetivos. Em cada execucao um novo bloco decodigo e alcancado ate chegar na funcao principal. Essaestrategia pode ter sido utilizada para dificultar a analise oumesmo ser apenas um estilo de codificacao.O objetivo desse artigo e mostrar um pouco mais sobre as estruturasinternas dos malwares. O topicos abordados nessa primeira parteserao:- O Phishing- Os Imports- Caminhos de execucao- 1a Execucao- Uso de Mutex- Mais validacoes- Preparacao para a 2a Execucao- Algumas ConsideracoesQualquer duvida, sugestao, correcao, sera muito bem-vinda. E nao deixe de acompanhar as novidades do blog no twitter: @crimescibernet.Let's start!OPhishingTudocomecou com um e-mail se passando pela Receita Federal comunicandoque devido a um congestionamento nos sistemas, algumas declaracoeshaviam sido danificadas e era necessario verificar com o CPF sehouve problema ou nao com a declaracao. A velha formula deengenharia social envolvendo assunto do momento mais a ameaca aousuario (medo).O linkapontava para essa URL:hxxp://receita-federal.mail333.su/Declaracao2011.rarFiz odonwload do RAR e descompactei, tratava-se do executavel Declaracao2011.exe. Estava compactado com o UPX e foi so utilizar oupx -d para remover o packer. No Brasil ainda utilizambastante o UPX, sera que so querem diminuir o tamanho do arquivo ouacham que ele realmente e bom para ofuscacao de codigo?Submetendoo arquivo descompactado ao Exeinfo PE e RDG Packer Detector alinguagem de programacao identificada