Manuel Statik Analiz — IcedID | Tehdit: YUKSEK

ファイル Kimliği

SHA25617014299f399f71d1130496b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f
ファイル名info_IR-99661418.msi (Fatura Referansı MSI!)
サイズ1.130.496 byte (1.08MB)
String Sayisi5.745

info_IR-99661418: Fatura Referans Numarası MSI Lürü

info_IR-99661418.msi
-- "info" = bilgilendirme/belge
-- "IR" = Invoice Reference veya Incident Report
-- "99661418" = 8 haneli referans numarası (seri)
-- ".msi" = Windows yükleyici paketi
  - MSI teslimat: e-posta eklerinde çalıştırılabilir EXE yerine geçer
  - Windows: .msi dosyalarına daha az şüphe gösterir
  - Kurumsal IT: MSI normal kurulum paketi gibi onaylanabilir
-- IcedID: bankacılık truva atı → fatura/ödeme lürleri

ConnectNamedPipe + DisconnectNamedPipe: İsimli Kanal Sunucu İletişimi

GİZLİ KOMÜNİKASYON: Ağ trafiği üretmeden süreçler arası iletişim!
ConnectNamedPipe      -- isimli kanal sunucu bağlantısı bekle
DisconnectNamedPipe   -- isimli kanal bağlantısını kes
-- İsimli kanallar (Named Pipes): Windows yerel süreçler arası iletişim
-- "ConnectNamedPipe" = sunucu rolü: istemci bağlanana kadar bekle
-- "DisconnectNamedPipe" = sunucu rolü: oturumu sonlandır
-- IcedID: iki süreç arası komut iletişimi için isimli kanal kullanıyor
  - Ağ paketi üretmiyor → IDS/firewall tespiti zorlaşıyor
  - Dropper → payload → veri çalma süreçleri arası haberleşme
-- Named pipe: process injection + hollowing sonrası gömülü payload ile iletişim

IOC

SHA25617014299f399f71d1130496b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f
Lureinfo_IR-99661418.msi

IcedID — マルウェアプロファイル

IcedID banking trojan. info_IR MSI invoice lure. ConnectNamedPipe named pipe IPC. IsDebuggerPresent double anti-debug.

マルウェアの種類
Loader
プログラミング言語
C++
C2プロトコル
HTTPS
標的システム
Windows
別名 (AKA)
BokBot

技術詳細

IcedID (BazarLoader) is a banking trojan and loader first observed 2017. Man-in-the-browser attacks targeting banking credentials via web injections. BazarLoader component: delivers Ryuk, Conti, and other ransomware payloads. Uses HTTPS with TLS for C2, custom binary protocol. Delivered via malspam (Office macros, password-protected archives). Notable for forked distribution: Standard IcedID vs. Lite variant (reduced banking features). Lite/BackConnect IcedID evolved to focus solely on ransomware delivery. C2 uses high entropy DGA-like domains with .com TLD.

アトリビューション / 脅威アクター

TA551 (Shathak), TA578

機能と挙動

Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı

IOCリスト (1 件の指標)

IOC — IcedID
# SHA256 17014299f399f71d1130496b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f
タイプ値メモ
sha256 17014299f399f71d1130496b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f
IcedID — 完全プロファイルへ →

C2サーバー (このファミリーで5台のサーバーを記録)

アドレス タイプ ポート プロトコル ステータス 国
162.33.177.167 ip 443 HTTPS active US
topfiveaccounting.com domain 443 HTTPS inactive US
185.220.100.240 ip 443 HTTPS inactive DE
nsabx.gg domain 443 HTTPS inactive —
5.8.88.226 ip 443 HTTPS sinkholed RU

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ
icedidiced-idinfo-ir-99661418-msi-invoice-reference-lureconnectnamedpipe-disconnectnamedpipe-named-pipe-communicationisdebuggerpresent-double-anti-debugmsi-delivery-email-filter-bypass