Manuel Statik Analiz — SolarMarker (YellowCockatoo) | Tehdit: 보통
파일 Kimliği
| SHA256 | 6d254c4ff86f1aa51592234b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 파일 이름 | install-x86 (2).exe ("(2)" = tarayıcıdan tekrar indirme!) |
| 크기 | 1.592.234 byte (1.6MB) |
| String Sayisi | 6.498 |
PowerShell WPF Yüklemesi
Add-Type -AssemblyName PresentationCore,PresentationFramework;[System.Windows.Message... -- Add-Type ile .NET WPF assembly yükleme -- PresentationFramework = Windows Presentation Foundation -- MessageBox gibi UI gösterme veya gizli WPF penceresi aracılığıyla payload çalıştırma -- PowerShell tek satır → anti-forensics
Bitcoin Cüzdanlar
116jt1i6vHZshXsa52CeHqtCd222NPJGZou 11CGykdcZbe1qoWj9kUybS3cRD4TanDjx1h
IOC
| SHA256 | 6d254c4ff86f1aa51592234b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| BTC | 116jt1i6vHZshXsa52CeHqtCd222NPJGZou |
SolarMarker — 악성코드 프로필
SolarMarker/Jupyter infostealer. PowerShell embedded host. Fake MSVCR120.dll error. Base64 payload. PSHost automation.
악성코드 유형
Backdoor
프로그래밍 언어
PowerShell/.NET
C2 프로토콜
HTTPS
대상 시스템
Kurumsal
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (2 개 지표)
IOC — SolarMarker
# MUTEX
116jt1i6vHZshXsa52CeHqtCd222NPJGZou
# MUTEX
11CGykdcZbe1qoWj9kUybS3cRD4TanDjx1h
| 유형 | 값 | 메모 |
|---|---|---|
| mutex | 116jt1i6vHZshXsa52CeHqtCd222NPJGZou | BTC cüzdanı |
| mutex | 11CGykdcZbe1qoWj9kUybS3cRD4TanDjx1h | BTC cüzdanı |