Manuel Statik Analiz (LLM Okumali) — BazarLoader (BazaLoader) | Tehdit: YUKSEK
파일 Kimligi
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| 파일 Adi | bz.dll |
| Format | PE DLL (agir paketleme) |
| 크기 | 192.512 byte |
| String Sayisi | 322 (CEKIRDEK) |
Paketleme Analizi
322 string, bu boyuttaki bir DLL icin son derece dusuktur. BazarLoader, C2 adresleri de dahil tum konfigurasyonu sifrelenmis sekilde barindirmaktadir. Runtime'da ECC + RC4 kombinasyonu ile sifre cozulmektedir.
BazarLoader Hakkinda
BazarLoader (BazaLoader), TrickBot geliştiricilerince 2020 yilindan itibaren kullanilmaya baslanmistir. Conti ransomware ile yakin iliskilendirilen bir initial access loader'dir. Mesgru gibi gorunen altyapi (blockchain DNS, HTTPS sertifika) kullanarak C2 gizler. Hedefler: Kurumsal aglar (RDP, Active Directory). Cobalt Strike ve Conti ransomware icin backdoor gorevi gorur.
IOC
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| Format | bz.dll |
| C2 | Sifrelenmis (Blockchain DNS/ECC) |
| Grup | TrickBot / Conti ekibi |
BazarLoader — 악성코드 프로필
BazarLoader BazaLoader TrickBot group loader. xigcgabbzkswmicmkatl shared Trigona mutex. DGA 20-char campaign IDs.
악성코드 유형
Loader
프로그래밍 언어
C++
C2 프로토콜
HTTPS
대상 시스템
Windows
다른 이름 (AKA)
BazarBackdoor
기능 및 동작
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
IOC 목록 (1 개 지표)
IOC — BazarLoader
# SHA256
b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |