파일 Kimligi
| SHA256 | 1599a612187565c699dfe4f10b04f5621ba04df9ae3c7b5e2d1f0a8b4c6e7a91 |
|---|---|
| Lure 파일 Adi | ProtonVPN_3.0.5.exe |
| Dahili Ad (ProductName) | CrazyTooth |
| String Sayisi | 1.278 (C++ native) |
Kimlik ve Lure
Bu ornek ProtonVPN 3.0.5.exe olarak dagilmaktadir. Gizlilik odakli bir VPN uygulamasi gorunumunde sunulmasi, gizliligi onemsyen ve ozellikle kisisel guvenligine dikkat eden kullanicilari hedef almayi amaclamaktadir. Dahili ProductName: CrazyTooth
Obfuscated Mutex (RecordBreaker Imzasi)
ZakidefurarugafUTahocefecapuv godu yohasikolaki legakaz xezedifu tez nodiraxu cehajixo xasibifobijilaJXuzi poriseg pipidahi fidelamirayite foyahocepige fakabulob gunopaxivoname
Bu uzun anlamsiz dizi Raccoon Stealer V2 (RecordBreaker) ailesinin karakteristik obfuscated mutex yapisidir. Staticanalizde bu pattern, RecordBreaker ailesinin kesin bir gostergesidir.
Raccoon V2 Yetenekleri
- Tarayici kimlik bilgileri (Chrome/Firefox/Edge/Brave — 60+ tarayici)
- Cookie calma ve oturum hırsızligi
- Kripto cuizdan: MetaMask, Exodus, Atomic, Electrum, Coinbase
- Email: Outlook, Thunderbird
- FTP: FileZilla, WinSCP
- Ekran goruntusu
- Sistem bilgisi ve yontemli veri paketiyle C2'ye gönderim
IOC
| SHA256 | 1599a612187565c699dfe4f10b04f5621ba04df9ae3c7b5e2d1f0a8b4c6e7a91 |
|---|---|
| Lure | ProtonVPN_3.0.5.exe |
| Dahili Ad | CrazyTooth |
| Mutex | Obfuscated (ZakidefurarugafU...) |
| C2 | Sifrelenmis (Telegram bot dead-drop + HTTP) |
Raccoon — 악성코드 프로필
Raccoon Stealer credential hırsızı. ProtonVPN gizleme. Telegram C2 destegi. Browser/kripto cüzdan hedef.
기술 세부 정보
C++/C, HTTP/HTTPS C2, SQLite credential extraction (browser login data), browser history/autofill, kripto wallet stealer (Ethereum/Bitcoin), email client stealer, custom stealer panel (PHP), fingerprint (HWID/IP)
기능 및 동작
IOC 목록 (1 개 지표)
# SHA256
1599a612187565c699dfe4f10b04f5621ba04df9ae3c7b5e2d1f0a8b4c6e7a91
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | 1599a612187565c699dfe4f10b04f5621ba04df9ae3c7b5e2d1f0a8b4c6e7a91 |
C2 서버 (이 패밀리에 대해 7개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| arena.cc | domain | — | HTTP | active | — |
| cacerts.digicert.com | domain | — | HTTP | active | — |
| crl3.digicert.com | domain | — | HTTP | active | — |
| crl.globalsign.com | domain | — | HTTP | active | — |
| 45.139.199.83 | ip | 443 | HTTPS | inactive | RU |
| coded_stream.cc | domain | — | HTTP | inactive | — |
| 92.255.57.48 | ip | 80 | HTTP | sinkholed | UA |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.