XLoader — Örnek SHA256: f0dfd0d8 | High Tehdit Analizi

XLoader | 脅威レベル: high | 種別: Infostealer

暗号学的識別子

SHA256	`f0dfd0d89f01e192500226d4d470a3e91d3bcdb168024e0dfb0c0ad8532fa1d6`
MD5	`efcd2208a9a709f51066e7f5ecdfa4c4`
ファイル種別	xlsx
サイズ	311.2 KB
初回確認	2021-11-09
ファイル名	Purchase Contract.xlsx
タグ	CVE-2017-11882, FormBook, xloader, xlsx

マルウェアファミリー: XLoader

XLoader, FormBook türevi'dir.

種別	Infostealer
プログラミング言語	C
対象プラットフォーム	Windows/macOS
C2 プロトコル	HTTP
目的	Stealer
初回確認年	2020

脅威指標 (IOC)

SHA256: f0dfd0d89f01e192500226d4d470a3e91d3bcdb168024e0dfb0c0ad8532fa1d6
MD5: efcd2208a9a709f51066e7f5ecdfa4c4

このサンプルのすべてのハッシュ値は VirusTotal で検証できます。

システムクリーンアップガイド

ただちにシステムをネットワークから切断する
Yeni bir cihazdan banka hesabı, sosyal medya ve e-posta şifrelerini değiştirin
暗号資産ウォレットを新しいアドレスへ移し、古いウォレットは破棄する
最新の対策ソフトでフルスキャンを実行する
ブラウザーに保存されたパスワードを削除し、2FA を有効にする
影響を受けたすべてのサービスで全セッションからサインアウトする

YARA ルールのヒント

rule XLoader_SHA256 {
    meta:
        description = "XLoader sample: f0dfd0d89f01e192"
        threat_level = "high"
        first_seen = "2021-11-09"
    condition:
        hash.sha256(0, filesize) == "f0dfd0d89f01e192500226d4d470a3e91d3bcdb168024e0dfb0c0ad8532fa1d6"
}

XLoader — マルウェアプロファイル

XLoader, FormBook türevi stealer'dır.

マルウェアの種類

Infostealer

プログラミング言語

C2プロトコル

HTTP

標的システム

Windows/macOS

技術詳細

Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri

機能と挙動

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOCリスト (2 件の指標)

IOC — XLoader

# SHA256
f0dfd0d89f01e192500226d4d470a3e91d3bcdb168024e0dfb0c0ad8532fa1d6 

# MD5
efcd2208a9a709f51066e7f5ecdfa4c4

タイプ	値	メモ
sha256	f0dfd0d89f01e192500226d4d470a3e91d3bcdb168024e0dfb0c0ad8532fa1d6	Sample:XLoader
md5	efcd2208a9a709f51066e7f5ecdfa4c4	Sample:XLoader

XLoader — 完全プロファイルへ →

C2サーバー (このファミリーで1台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
45.131.66.167	ip	4444	HTTP	inactive	RU

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

xloaderinfostealermalwarehighsha256hash-analizi