BazarLoader — Örnek SHA256: 8c39b5dd | High Tehdit Analizi

BazarLoader | 脅威レベル: high | 種別: Loader

暗号学的識別子

SHA256	`8c39b5dd896e4b7163f0c9f27b3ecde4435fa98666cd6e8e1f0a7df73ed757f7`
MD5	`cc029b8675d3b262564d4d81c6008d5b`
ファイル種別	xlsx
サイズ	240.7 KB
初回確認	2021-03-31
ファイル名	subscription_1617218228.xlsb
タグ	bazacall, BazaLoader, BazarCall, BazarLoader, excel, macros, TrickBot

マルウェアファミリー: BazarLoader

BazarLoader, gizli TrickBot grubu loader'dır.

種別	Loader
プログラミング言語	C++
対象プラットフォーム	Windows
C2 プロトコル	HTTPS
目的	Cobalt Strike staging
初回確認年	2020
別名	BazarBackdoor

脅威指標 (IOC)

SHA256: 8c39b5dd896e4b7163f0c9f27b3ecde4435fa98666cd6e8e1f0a7df73ed757f7
MD5: cc029b8675d3b262564d4d81c6008d5b

このサンプルのすべてのハッシュ値は VirusTotal で検証できます。

システムクリーンアップガイド

システムをネットワークから切断する（ローダーが追加のマルウェアを取得している可能性）
ダウンロードされたすべてのペイロードを解析する
すべてのネットワークトラフィックを検査し、不審な接続を遮断する
ウイルス対策ソフトでフルスキャンを行う
システムの再インストールを検討する

YARA ルールのヒント

rule BazarLoader_SHA256 {
    meta:
        description = "BazarLoader sample: 8c39b5dd896e4b71"
        threat_level = "high"
        first_seen = "2021-03-31"
    condition:
        hash.sha256(0, filesize) == "8c39b5dd896e4b7163f0c9f27b3ecde4435fa98666cd6e8e1f0a7df73ed757f7"
}

BazarLoader — マルウェアプロファイル

BazarLoader BazaLoader TrickBot group loader. xigcgabbzkswmicmkatl shared Trigona mutex. DGA 20-char campaign IDs.

マルウェアの種類

Loader

プログラミング言語

C++

C2プロトコル

HTTPS

標的システム

Windows

別名 (AKA)

BazarBackdoor

機能と挙動

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

IOCリスト (2 件の指標)

IOC — BazarLoader

# SHA256
8c39b5dd896e4b7163f0c9f27b3ecde4435fa98666cd6e8e1f0a7df73ed757f7 

# MD5
cc029b8675d3b262564d4d81c6008d5b

タイプ	値	メモ
sha256	8c39b5dd896e4b7163f0c9f27b3ecde4435fa98666cd6e8e1f0a7df73ed757f7	Sample:BazarLoader
md5	cc029b8675d3b262564d4d81c6008d5b	Sample:BazarLoader

BazarLoader — 完全プロファイルへ →

タグ

bazarloaderloadermalwarehighsha256hash-analizi