Bumblebee Loader -- 1.8MB, GlobalSign TLS CRL, odoca.com Domain, Anti-Debug | Kritik

ファイル Kimliği

TLS CRL Doğrulama

http://crl.globalsign.com/ca/gstsacasha384g4.crl0
http://crl.globalsign.com/root-r6.crl
-- GlobalSign Certificate Revocation List doğrulama
-- TLS ile güvenli C2 iletişimi (sertifika doğrulama)

Şüpheli C2 Domain

odoca.com  -- Bumblebee C2 domain (şüpheli, CDN değil)

C2 Config Fragmentleri

wC2%];, FC2ER, ZC2;a  -- C2 sunucu config fragmentleri

Anti-Debug

IsDebuggerPresent  -- Debugger tespiti

Bumblebee Hakkında

Bumblebee, 2022'den beri aktif olan gelişmiş C++ loader ailesidir. Conti ve Lazarus Group ile bağlantılı olduğu değerlendirilmektedir. ISO/VHD/LNK dağıtım zinciri kullanır. Cobalt Strike, Metasploit Meterpreter gibi post-exploitation araçlarını ve ransomware payload'larını indirir. Anti-analiz, anti-debug ve process hollowing özellikleri vardır.

IOC