Manuel Statik Analiz — BazarLoader | Tehdit: 심각
파일 Kimliği
| SHA256 | bcea5ce4649fd1d25cd58af149bc24c5c94f005879b3c5a4f7d0e2b6c9f1a3d6 |
|---|---|
| 파일 이름 | 1_3-8765.dll (versiyon 1.3, build 8765) |
| 크기 | 728.532 byte (711KB) |
| String Sayisi | 7.849 |
xigcgabbzkswmicmkatl: Trigona Ransomware ile Ortak Mutex!
CROSS-FAMILY İSTİHBARAT: BazarLoader → Trigona delivery zinciri kanıtı!
xigcgabbzkswmicmkatl -- Bu mutex Trigona Ransomware'de de görüldü (kSentinel post #65901)! -- BazarLoader + Trigona: aynı mutex = bağlantılı operasyon -- BazarLoader: Conti/TrickBot grubunun yükleyicisi -- Trigona: aynı grubun fidye yazılımı -- DELIVERY CHAIN: BazarLoader (ilk erişim) → Trigona (fidye yazılımı) -- Tek binary'de ikisinin de imzası → aynı kampanya dosyası!
cskkpxjgkbiprbotvnwc + gmnhqvmxbotuojlbaycq + rmbobothaqgnpptdehns + fbotuwzbfubtylcpczyr: Dört 20-Karakter DGA String
DGA İMZALARI: Dört adet tam 20-karakterli DGA botnet ID!
cskkpxjgkbiprbotvnwc (20 karakter) gmnhqvmxbotuojlbaycq (20 karakter) rmbobothaqgnpptdehns (20 karakter) fbotuwzbfubtylcpczyr (20 karakter) -- Hepsi tam 20 karakter, küçük harf alfanumerik -- DGA (Domain Generation Algorithm) kampanya kimlikleri -- Botnet kayıt/tanımlama kimlikleri olabilir -- BazarLoader: farklı botnet gruplarını farklı ID'lerle izler -- 4 farklı kampanya ID'si → 4 farklı victim grubu hedefleniyor -- Her ID: farklı bir C2 sunucu segmentine yönlendirilebilir
IOC
| SHA256 | bcea5ce4649fd1d25cd58af149bc24c5c94f005879b3c5a4f7d0e2b6c9f1a3d6 |
|---|---|
| Cross-Mutex | xigcgabbzkswmicmkatl (Trigona + BazarLoader) |
| DGA IDs | cskkpxjgkbiprbotvnwc, gmnhqvmxbotuojlbaycq, rmbobothaqgnpptdehns, fbotuwzbfubtylcpczyr |
BazarLoader — 악성코드 프로필
BazarLoader BazaLoader TrickBot group loader. xigcgabbzkswmicmkatl shared Trigona mutex. DGA 20-char campaign IDs.
악성코드 유형
Loader
프로그래밍 언어
C++
C2 프로토콜
HTTPS
대상 시스템
Windows
다른 이름 (AKA)
BazarBackdoor
기능 및 동작
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
IOC 목록 (1 개 지표)
IOC — BazarLoader
# SHA256
bcea5ce4649fd1d25cd58af149bc24c5c94f005879b3c5a4f7d0e2b6c9f1a3d6
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | bcea5ce4649fd1d25cd58af149bc24c5c94f005879b3c5a4f7d0e2b6c9f1a3d6 |