Manuel Statik Analiz — Ursnif/Gozi | Tehdit: YUKSEK

파일 Kimliği

SHA25623df2b11dc7a52f61841921b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
파일 이름magic.js (obfuskasyon imgesi)
크기1.841.921 byte (1.8MB JS)
String Sayisi1 (BİR!) — 1.8MB kod, sıfıra yakın okunabilir string

Meşru Domain Kamuflajı

Yenilikçi Teknik: Gerçek meşru domainler kod içine gömülüyor → statik analiz "zararsız" görür!
kpmg.com        -- KPMG Big4 muhasebe firması
thelancet.com   -- The Lancet tıp dergisi
-- Bu domainler gerçek C2 değil, kamuflaj!
-- Statik analiz: "meşru domain var → zararsız"
-- Gerçek C2: Base64/eval zinciri derininde gizli
-- Discord CDN: cdn.discordapp.com payload delivery

IOC

SHA25623df2b11dc7a52f61841921b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
Deliverycdn.discordapp.com (Discord CDN)
Teknik1 string / 1.8MB (maksimum obfuskie)

Ursnif — 악성코드 프로필

Ursnif/Gozi ISFB banking trojan 2007. magic.js 1 string max obfuski. kpmg/thelancet camouflage. Discord CDN. Man-in-browser.

악성코드 유형
Other
프로그래밍 언어
C++
C2 프로토콜
HTTPS
대상 시스템
Windows
다른 이름 (AKA)
Gozi

기술 세부 정보

Ursnif (Gozi/ISFB) is one of the oldest banking trojans, active since 2007. Source code leaked 2010 and 2015 spawning numerous variants: ISFB, RM3, LDR4. Man-in-the-browser attacks: form grabbing, video capture of banking sessions, web injections. C2 uses RSA-1024 encrypted HTTPS with domain generation algorithm (DGA) as fallback. RSA-2048 for config encryption, custom binary protocol. Anti-analysis: timing-based sandbox evasion, VMware/VirtualBox artifact detection. LDR4 variant (2022) dropped banking features to focus purely on ransomware delivery. Operated by TA544 (Narwhal Spider) in Italy, and by TA551 (Shathak) in Japan. Uses HTTPS for exfiltration with binary data format.

귀속 / 위협 행위자

TA544 (Narwhal Spider), TA551 (Shathak), multiple operators

기능 및 동작

Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz

IOC 목록 (3 개 지표)

IOC — Ursnif
# DOMAIN kpmg.com # DOMAIN thelancet.com # DOMAIN discordapp.com
유형메모
domain kpmg.com
domain thelancet.com
domain discordapp.com

C2 서버 (이 패밀리에 대해 1개의 서버 기록)

주소 유형 포트 프로토콜 상태 국가
91.92.109.38 ip 8080 HTTP sinkholed RU

C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.

태그
ursnifgozimagic-js1-stringkpmg-camouflagethelancet-camouflagediscord-cdnmax-obfuscation