QakBot 악성코드 분석

파일 속성

SHA256: e248f7a1cbd369a2111834664fa805b489c8610e0d9b7fa506c3a1fc882dd331

MD5: 2b9b0bfbf52742dff63a21cfd9fc496e

파일 형식: dll

크기: 643,400 byte

최초 발견: 2022-10-27

AV 시그니처: Quakbot

Imphash: 34d094cea0fc040405cd0327eba81d57

보고자: pr0xylife

태그: 1666863975, dll, Qakbot, Quakbot, RIWQRMKSGCVXTNIIYV, signed

정적 분석: 메타데이터 기반 (샘플 미다운로드)

QakBot — 악성코드 프로필

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

악성코드 유형
Other
프로그래밍 언어
C++
C2 프로토콜
HTTPS
대상 시스템
Windows
다른 이름 (AKA)
QBot

기술 세부 정보

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

귀속 / 위협 행위자

Gold Lagoon, TA570 (Shatak)

기능 및 동작

Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz

IOC 목록 (1 개 지표)

IOC — QakBot
# FILEPATH e248f7a1cbd369a2111834664fa805b489c8610e0d9b7fa506c3a1fc882dd331
유형값메모
filepath e248f7a1cbd369a2111834664fa805b489c8610e0d9b7fa506c3a1fc882dd331 PDB
QakBot — 전체 프로필 보기 →

C2 서버 (이 패밀리에 대해 8개의 서버 기록)

주소 유형 포트 프로토콜 상태 국가
95.217.35.154 ip 443 HTTPS inactive FI
upd5.pro domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
metasta.me domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
amacey.com domain 443 HTTPS inactive —
181.174.165.208 ip 443 HTTPS sinkholed AR
212.117.180.232 ip 443 HTTPS sinkholed CH

C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.

태그
1666863975dllQakbotQuakbotRIWQRMKSGCVXTNIIYV