Manuel Statik Analiz (LLM Okumali) — BazarLoader (BazaLoader) | Tehdit: YUKSEK
Arquivo Kimligi
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| Arquivo Adi | bz.dll |
| Format | PE DLL (agir paketleme) |
| Tamanho | 192.512 byte |
| String Sayisi | 322 (CEKIRDEK) |
Paketleme Analizi
322 string, bu boyuttaki bir DLL icin son derece dusuktur. BazarLoader, C2 adresleri de dahil tum konfigurasyonu sifrelenmis sekilde barindirmaktadir. Runtime'da ECC + RC4 kombinasyonu ile sifre cozulmektedir.
BazarLoader Hakkinda
BazarLoader (BazaLoader), TrickBot geliştiricilerince 2020 yilindan itibaren kullanilmaya baslanmistir. Conti ransomware ile yakin iliskilendirilen bir initial access loader'dir. Mesgru gibi gorunen altyapi (blockchain DNS, HTTPS sertifika) kullanarak C2 gizler. Hedefler: Kurumsal aglar (RDP, Active Directory). Cobalt Strike ve Conti ransomware icin backdoor gorevi gorur.
IOC
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| Format | bz.dll |
| C2 | Sifrelenmis (Blockchain DNS/ECC) |
| Grup | TrickBot / Conti ekibi |
BazarLoader — Perfil do malware
BazarLoader BazaLoader TrickBot group loader. xigcgabbzkswmicmkatl shared Trigona mutex. DGA 20-char campaign IDs.
Tipo de malware
Loader
Linguagem de programação
C++
Protocolo C2
HTTPS
Sistemas-alvo
Windows
Também conhecido como (AKA)
BazarBackdoor
Capacidades e comportamento
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
Lista IOC (1 indicadores)
IOC — BazarLoader
# SHA256
b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |