Manuel Statik Analiz — Squirrelwaffle Loader | Tehdit: YUKSEK
ファイル Kimliği
| SHA256 | 0278a0ff3a6fc562e8b1d4a7c3f9e2b5d8a1c4f7e0b3d6a9c2f5e8b1d4a7c0f |
|---|---|
| ファイル名 | test1.test.dll |
| サイズ | 458.218 byte |
| String Sayisi | 3.397 |
Şifreli C2 Config Fragmentleri
2C2n2*383 -- Şifreli C2 config alanı
2$2.282G2Q2c2{2 -- C2 config değeri
~[ZtRC2 -- C2 referansı
Squirrelwaffle Hakkında
Squirrelwaffle, 2021'den beri aktif loader ailesidir. Meşru web sitelerini ele geçirerek (ProxyLogon/ProxyShell) dağıtım için kullanır. XOR ile şifreli C2 yapılandırması ve hardcoded C2 IP listesi içerir. Qakbot ve Cobalt Strike gibi ikinci aşama araçlar yükler. İş konulu sahte yanıt e-postalarıyla (reply-chain hijacking) yayılır.
IOC
| SHA256 | 0278a0ff3a6fc562e8b1d4a7c3f9e2b5d8a1c4f7e0b3d6a9c2f5e8b1d4a7c0f |
|---|
Squirrelwaffle — マルウェアプロファイル
Squirrelwaffle 2021 email thread hijacking loader. Exchange ProxyLogon/ProxyShell. Qakbot+CS dropper.
マルウェアの種類
Loader
プログラミング言語
C++
C2プロトコル
HTTPS
標的システム
Kurumsal
機能と挙動
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
IOCリスト (1 件の指標)
IOC — Squirrelwaffle
# SHA256
0278a0ff3a6fc562e8b1d4a7c3f9e2b5d8a1c4f7e0b3d6a9c2f5e8b1d4a7c0f
| タイプ | 値 | メモ |
|---|---|---|
| sha256 | 0278a0ff3a6fc562e8b1d4a7c3f9e2b5d8a1c4f7e0b3d6a9c2f5e8b1d4a7c0f | len=63 |