Manuel Statik Analiz (LLM Okumali) — Eternity Stealer (AZORult Klon) | Tehdit: YUKSEK
ファイル Kimligi
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Tag | Eternity (MalwareBazaar) |
AZORult ile Iliski
Binary string analizi sonucunda bu ornek AZORult stealer ile ayni C2 altyapisini ve string setini paylastigini gostermektedir. Eternity Stealer, AZORult kodunun rebrand veya repack edilmis bir varyantidir.
Her iki ornekte de ozdes stringler bulunmaktadir:
https://dotbit.me/a/— Blockchain DNS C2 cozucusuhttp://ip-api.com/json— Dis IP tespiti%APPDATA%\Telegram Desktop\tdata\— Telegram token calma
Bilinen Yetenekler (AZORult ile ortak)
- Steam kimlik bilgileri (Config/*.vdf)
- Telegram Desktop oturum datasi
- Pidgin IM hesap bilgileri
- Skype kimlik bilgileri
- Blockchain DNS ile C2 takip direnci
IOC
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Blockchain DNS | dotbit.me |
| IP Lookup | ip-api.com |
| ファミリー Iliskisi | AZORult klon/repack |
AZORult — マルウェアプロファイル
AZORult, 2016 dan beri aktif Rus yapimi C++ infostealer ailesidir. Tarayici sifreleri, email, FTP, kripto cuzdan. 2019 sızdırılmıstır.
マルウェアの種類
Infostealer
プログラミング言語
Delphi
C2プロトコル
HTTP
標的システム
Windows
技術詳細
C++, HTTP POST C2, browser credential theft (Chromium/Firefox), cookie theft, cryptocurrency wallet stealer, Steam session stealer, screenshot, clipboard monitor, downloader capability
機能と挙動
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOCリスト (1 件の指標)
IOC — AZORult
# SHA256
025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3
| タイプ | 値 | メモ |
|---|---|---|
| sha256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
C2サーバー (このファミリーで4台のサーバーを記録)
| アドレス | タイプ | ポート | プロトコル | ステータス | 国 |
|---|---|---|---|---|---|
| ip-api.com | domain | 80 | HTTP | active | — |
| azorult-panel.ru | domain | 80 | HTTP | inactive | RU |
| 176.109.116.153 | ip | 80 | HTTP | inactive | UA |
| dotbit.me | domain | 443 | HTTPS | inactive | — |
C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。