Hash / BilgiDeger
SHA256fa0aa80f70e12c3c54d8238292ccf6beebaac5fb870914a6f35cf7ede08e2c42
MD586c8bd42850c58af7b0ff07fa2cd2fdd
SHA16376b4f11c18ac5e64e335c2d217cf76a4ee8a8d
ImpHash68cbdf7501e2b92f31f624762e8a195b
Dosya Adifa0aa80f70e12c3c54d8238292ccf6beebaac5fb870914a6f35cf7ede08e2c42
Dosya Türüexe
Boyut714,048 bytes
Ilk Görülme2024-08-18

Tehdit Degerlendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

Tespit Edilen Yetenekler

  • Payload Indirme
  • Surec Enjeksiyonu
  • Kalicilik
  • Anti-Analiz
  • Sifrelenmis Iletisim

MalwareBazaar Etiketleri

EmotetexeHeodoKUD LIMITEDsigned

Analiz Notu

Bu ornek Emotet ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

Emotet — マルウェアプロファイル

Emotet (Heodo/Mealybug/TA542) 32-bit DLL payload. Process enumeration via CreateToolhelp32Snapshot+Process32First/Next. VirtualAlloc+VirtualProtect shellcode staging. ntdll.dll direct calls. Low entropy 3.92 (stage-1 loader/encoded payload). Suspicious imagebase and DOS stub.

マルウェアの種類
Loader
プログラミング言語
C
C2プロトコル
HTTP
標的システム
Windows
別名 (AKA)
Heodo

技術詳細

C dili, HTTP C2 (RSA+AES sifreleme), modular yapi (email stealer, spreader, Outlook harvester), process hollowing, living off the land (regsvr32, mshta, certutil), Epoch1/2/3/4/5 botnet

アトリビューション / 脅威アクター

TA542 (MUMMY SPIDER) - Ukrayna kokenli oldugu dusunulen organizasyon. 2021'de Europol/FBI tarafindan coguyla tutuklandi; 2022'de geri dondu.

機能と挙動

Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı

IOCリスト (2 件の指標)

IOC — Emotet
# SHA256 fa0aa80f70e12c3c54d8238292ccf6beebaac5fb870914a6f35cf7ede08e2c42 # MD5 86c8bd42850c58af7b0ff07fa2cd2fdd
タイプ値メモ
sha256 fa0aa80f70e12c3c54d8238292ccf6beebaac5fb870914a6f35cf7ede08e2c42
md5 86c8bd42850c58af7b0ff07fa2cd2fdd
Emotet — 完全プロファイルへ →

C2サーバー (このファミリーで7台のサーバーを記録)

アドレス タイプ ポート プロトコル ステータス 国
41.216.188.11 ip 8000 HTTP active —
103.143.173.206 ip 443 HTTPS inactive ID
144.91.65.153 ip 7080 HTTP inactive DE
195.88.54.144 ip 8080 HTTP sinkholed —
103.43.46.149 ip 443 HTTPS sinkholed —
185.220.101.32 ip 80 HTTP sinkholed DE
5.135.183.154 ip 8080 HTTP sinkholed FR

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ
EmotetexeHeodoKUD LIMITEDsigned