DBatLoader — DHL EXPRESSUAE.exe [ddc28966]

Tehdit Degerlendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

Tespit Edilen Yetenekler

• Payload Indirme
• Surec Enjeksiyonu
• Kalicilik
• Anti-Analiz
• Sifrelenmis Iletisim

MalwareBazaar Etiketleri

Analiz Notu

Bu ornek DBatLoader ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

DBatLoader — 악성코드 프로필

DBatLoader/ModiLoader. PaymentXAdvice ZIP lure. Brazilian Portuguese targeting. pt-BR locale.

악성코드 유형

Loader

프로그래밍 언어

Delphi

C2 프로토콜

HTTP

대상 시스템

Windows

다른 이름 (AKA)

ModiLoader

기술 세부 정보

Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri

기능 및 동작

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

IOC 목록 (2 개 지표)

IOC — DBatLoader 복사

# SHA256 ddc28966c58819ef26fc3d611dbb3aa79647578d2c5b427bc19f01f4fd40c515 # MD5 6945c2c89e6c60f46671c926e435f94b

유형	값	메모
sha256	ddc28966c58819ef26fc3d611dbb3aa79647578d2c5b427bc19f01f4fd40c515
md5	6945c2c89e6c60f46671c926e435f94b

C2 서버 (이 패밀리에 대해 3개의 서버 기록)

주소	유형	포트	프로토콜	상태	국가
176.32.34.88	ip	80	HTTP	active	UA
194.33.45.78	ip	443	HTTPS	inactive	CZ
85.195.206.19	ip	80	HTTP	inactive	AT

C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.