Dridex | 脅威レベル: critical | 種別: Banking Trojan

暗号学的識別子

SHA256de171138107af68993856781363643f96bbfa0fc996b89f0cddb08e0b848cfde
MD5380e2a6c71cc64f136bd026da228e1d2
ファイル種別dll
サイズ532.0 KB
初回確認2021-12-22
ファイル名SecuriteInfo.com.W32.AIDetect.malware1.24851.13321
タグdll, Dridex

マルウェア ファミリー: Dridex

Dridex, Evil Corp ile ilişkilidir.

種別Banking Trojan
プログラミング言語C++
対象プラットフォームWindows
C2 プロトコルHTTPS
目的Evil Corp bankacılık trojan
初回確認年2012
別名Bugat

脅威指標 (IOC)

  • SHA256: de171138107af68993856781363643f96bbfa0fc996b89f0cddb08e0b848cfde
  • MD5: 380e2a6c71cc64f136bd026da228e1d2

システム クリーンアップ ガイド

  1. システムをネットワークから切断する（LAN ケーブルを抜き、Wi-Fi を無効化）
  2. タスク マネージャーで不審なプロセスを終了する
  3. Malwarebytes または Kaspersky でシステム全体をスキャンする
  4. HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
  5. タスク スケジューラで新規作成されたタスクを確認する
  6. 安全な端末からすべてのアカウントのパスワードを変更する
  7. Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

YARA ルールのヒント

rule Dridex_SHA256 {
    meta:
        description = "Dridex sample: de171138107af689"
        threat_level = "critical"
        first_seen = "2021-12-22"
    condition:
        hash.sha256(0, filesize) == "de171138107af68993856781363643f96bbfa0fc996b89f0cddb08e0b848cfde"
}

Dridex — マルウェアプロファイル

Dridex Bugat TA505 banking trojan. Chrome/Firefox form hooking with obfuscated strings. DirectUI RTTI.

マルウェアの種類
Other
プログラミング言語
C++
C2プロトコル
HTTPS
標的システム
Windows
別名 (AKA)
Bugat

技術詳細

Dridex (Bugat/Cridex) is a modular banking trojan operated by TA505/Evil Corp since 2011. Uses peer-to-peer botnet architecture for C2 communication to resist takedowns. Modules: form grabber, VNC backdoor, network proxy, credential stealer, spread module. Encrypted communication: RC4 + custom protocol over HTTP. Delivered via Microsoft Office macro phishing (VBA macros). Used to deliver: BitPaymer, WastedLocker, Grief (PayOrGrief) ransomware. Evil Corp sanctioned by US Treasury October 2019, making ransom payments illegal for US entities. Dridex infrastructure heavily overlaps with Locky ransomware campaigns. Botnet IDs (bot IDs): 220, 444, 7777, multiple active botnets simultaneously.

アトリビューション / 脅威アクター

Evil Corp (TA505), Maksim Yakubets (indicted by FBI)

機能と挙動

Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz

IOCリスト (2 件の指標)

IOC — Dridex
# SHA256 de171138107af68993856781363643f96bbfa0fc996b89f0cddb08e0b848cfde # MD5 380e2a6c71cc64f136bd026da228e1d2
タイプ値メモ
sha256 de171138107af68993856781363643f96bbfa0fc996b89f0cddb08e0b848cfde
md5 380e2a6c71cc64f136bd026da228e1d2
Dridex — 完全プロファイルへ →

C2サーバー (このファミリーで3台のサーバーを記録)

アドレス タイプ ポート プロトコル ステータス 国
79.141.164.52 ip 4444 TCP sinkholed RO
185.234.218.151 ip 4444 HTTPS sinkholed RU
77.73.133.84 ip 443 HTTPS sinkholed BG

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ
dridexbanking trojanmalwarecriticalsha256analizzenginleştirilmiş