Latrodectus -- wazij.com/sel.php C2, temp.tmp MSI, NtQueryInformationProcess Üçlü Anti-Debug | Yüksek

파일 Kimliği

Doğrudan C2 URL'si

https://wazij.com/sel.php
-- wazij.com: C2 yönetim sunucusu
-- /sel.php: Select/Selection — bot seçim/kayıt endpoint'i
-- AI_DOWs parametresi: bot kimliği veya komut parametresi
-- PHP backend: dinamik bot yönetim paneli

Üçlü Anti-Debug

NtQueryInformationProcess  -- Kernel-level process info (debug port)
GetTickCount               -- Zamanlama saldırısı
IsDebuggerPresent          -- Kullanıcı modu debugger API
-- 3 farklı katmanda koruma → tek bypass yetmez

Latrodectus Hakkında

Latrodectus, 2023'te keşfedilen ve IcedID ile aynı altyapıyı kullanan yeni nesil loader'dır. Latrodectus = Kara Dul Örümcek (latincesi). Malvertising ve phishing ile dağıtılır. MSI veya JS ile gelir. Cobalt Strike, ransomware ve bilgi çalıcı payload'larını indirir. WizardSpider ve TA577 tehdit aktörleri kullanıyor.

IOC