Manuel Statik Analiz (LLM Okumali) — Gozi/ISFB Banking Trojan | Tehdit: YUKSEK

파일 Kimligi

SHA256c3b6be96582dc92249e78db51d0abe50e78b6cd3ab63a17e35a7b8d5a5c6e02f
파일 Adiatw3.dll
FormatPE DLL (yuksek entropi, paketlenmis)
String Sayisi776 (agir paketleme/sifreleme)

Paketleme Analizi

776 string, bu boyuttaki bir DLL icin oldukca dusuk. Gozi/ISFB, C2 adresleri ve web inject konfigürasyonunu runtime'da RC4 ile sifreli tutmaktadir. PageSetupDlgW / PageSetupDlgA Win32 print dialog sarmalayicilari gorulebilmektedir; bu banking trojanlarinda tipik bir yan etkidir.

Gozi/ISFB Hakkinda

Gozi (ISFB/Ursnif/DREAM olarak da bilinir), 2007 yilinda Rus underground piyasasinda ortaya cikan C tabanli bir banking trojanidır. Web inject, form grabbing, keylogging ve VNC modülleriyle online bankacilik oturum bilgilerini calarak kurbanin hesabindan transfer yapar. 2015 yilinda kaynak kodu sizintiyla GitHub'a dustu (ISFB). TA544, TA551 gibi gruplarla iliskilendirilmektedir.

IOC

SHA256c3b6be96582dc92249e78db51d0abe50e78b6cd3ab63a17e35a7b8d5a5c6e02f
FormatDLL (atw3.dll)
C2RC4 sifrelenmis (runtime)

Gozi — 악성코드 프로필

Gozi ISFB Ursnif banking trojan. RegSaveKeyA registry dump. NotifyBootConfigStatus boot persistence.

악성코드 유형
Botnet
프로그래밍 언어
C++
C2 프로토콜
HTTP (RC4)
대상 시스템
Avrupa/Kuresel Finansal

기능 및 동작

DDoS Saldırısı
Botnet Genişletme
Brute Force Taran
Payload Dağıtımı
Uzaktan Komut
Ağ Tarama
Kimlik Bilgisi Çalma
IoT Cihaz Kontrolü

IOC 목록 (1 개 지표)

IOC — Gozi
# SHA256 c3b6be96582dc92249e78db51d0abe50e78b6cd3ab63a17e35a7b8d5a5c6e02f
유형값메모
sha256 c3b6be96582dc92249e78db51d0abe50e78b6cd3ab63a17e35a7b8d5a5c6e02f
Gozi — 전체 프로필 보기 →
태그
goziisfbbanking-trojandllpaketlenmisform-grabberwebinject