Manuel Statik Analiz (LLM Okumali) — Eternity Stealer (AZORult Klon) | Tehdit: YUKSEK
파일 Kimligi
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Tag | Eternity (MalwareBazaar) |
AZORult ile Iliski
Binary string analizi sonucunda bu ornek AZORult stealer ile ayni C2 altyapisini ve string setini paylastigini gostermektedir. Eternity Stealer, AZORult kodunun rebrand veya repack edilmis bir varyantidir.
Her iki ornekte de ozdes stringler bulunmaktadir:
https://dotbit.me/a/— Blockchain DNS C2 cozucusuhttp://ip-api.com/json— Dis IP tespiti%APPDATA%\Telegram Desktop\tdata\— Telegram token calma
Bilinen Yetenekler (AZORult ile ortak)
- Steam kimlik bilgileri (Config/*.vdf)
- Telegram Desktop oturum datasi
- Pidgin IM hesap bilgileri
- Skype kimlik bilgileri
- Blockchain DNS ile C2 takip direnci
IOC
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Blockchain DNS | dotbit.me |
| IP Lookup | ip-api.com |
| 패밀리 Iliskisi | AZORult klon/repack |
AZORult — 악성코드 프로필
AZORult, 2016 dan beri aktif Rus yapimi C++ infostealer ailesidir. Tarayici sifreleri, email, FTP, kripto cuzdan. 2019 sızdırılmıstır.
악성코드 유형
Infostealer
프로그래밍 언어
Delphi
C2 프로토콜
HTTP
대상 시스템
Windows
기술 세부 정보
C++, HTTP POST C2, browser credential theft (Chromium/Firefox), cookie theft, cryptocurrency wallet stealer, Steam session stealer, screenshot, clipboard monitor, downloader capability
기능 및 동작
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC 목록 (1 개 지표)
IOC — AZORult
# SHA256
025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
C2 서버 (이 패밀리에 대해 4개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| ip-api.com | domain | 80 | HTTP | active | — |
| azorult-panel.ru | domain | 80 | HTTP | inactive | RU |
| 176.109.116.153 | ip | 80 | HTTP | inactive | UA |
| dotbit.me | domain | 443 | HTTPS | inactive | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.