Manuel Statik Analiz — BlindEagle (APT-C-36) | Tehdit: 심각
파일 Kimliği
| SHA256 | 5c40b6c237da3b279439b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| 파일 이름 | kbum1963.duckdns.org remnew.duckdns.org yumagu[...] (C2 domainleri ile!) |
| 크기 | 1.877.569 byte (1.79MB) |
| String Sayisi | 9.439 |
kbum1963.duckdns.org + remnew.duckdns.org: DuckDNS Dinamik DNS C2
C2 TESPİT: DuckDNS üzerinden dinamik DNS C2 — dosya adında!
kbum1963.duckdns.org -- DuckDNS subdomain C2 #1 remnew.duckdns.org -- DuckDNS subdomain C2 #2 -- DuckDNS: ücretsiz dinamik DNS servisi (duckdns.org) -- Dinamik DNS: C2'nin IP adresi değişse de domain adı sabit kalır -- "kbum1963" = muhtemelen operatör takma adı + yıl -- "remnew" = "remote new" veya rastgele seçilmiş -- Dosya adı = binary içine gömülü C2 adresler olarak dosya adı kullanılmış! -- BlindEagle (APT-C-36): Kolombiya, Ekvador, Şili'yi hedefleyen APT
IDS_TITLE1 "Pulse el botón": İspanyolca GUI
HEDEF BÖLGELİ: İspanyolca arayüz = Latin Amerika hedeflemesi!
IDS_TITLE1 "<ul><li>Pulse el bot[on]..." -- "Pulse el botón" = "Düğmeye basın" (İspanyolca!) -- HTML embed: `<ul><li>` = liste elemanı (Rich HTML dialog?) -- İspanyolca UI: Kolombiya, Ekvador, Peru, Şili, Arjantin gibi hedefler -- BlindEagle = APT-C-36: Güney Amerika odaklı tehdit aktörü -- İspanyolca metin: kurban dil bariyer olmadan etkileşim giriyor
$GETPASSWORD1: WinRAR SFX Teslimat
$GETPASSWORD1:SIZE $GETPASSWORD1:CAPTION $GETPASSWORD1:IDC_PASSWORDENTER -- LockBit3 ile aynı WinRAR SFX wrapper pattern! -- Şifreli SFX arşiv: şifre kullanıcıdan isteniyor → sosyal mühendislik
IOC
| SHA256 | 5c40b6c237da3b279439b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| C2-1 | kbum1963.duckdns.org (DuckDNS) |
| C2-2 | remnew.duckdns.org (DuckDNS) |
BlindEagle — 악성코드 프로필
BlindEagle APT-C-36 South America APT. DuckDNS dynamic DNS C2. Spanish GUI. WinRAR SFX delivery. Targets Colombia, Ecuador, Chile.
악성코드 유형
RAT
프로그래밍 언어
Delphi/AutoIt
C2 프로토콜
HTTP
대상 시스템
Latin Amerika
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (1 개 지표)
IOC — BlindEagle
# DOMAIN
duckdns.org
| 유형 | 값 | 메모 |
|---|---|---|
| domain | duckdns.org |
C2 서버 (이 패밀리에 대해 2개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| kbum1963.duckdns.org | domain | 443 | HTTPS | inactive | — |
| remnew.duckdns.org | domain | 443 | HTTPS | inactive | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.