Dridex Sample: 0457768F9D8D70FF

Dridex Análise de malware

Propriedades do arquivo

SHA256: 0457768f9d8d70ff59275c27bc99d45c1c48cf1e932d29c3f2e9d5e037acd802

MD5: da5b3014ceace8e5e161b5219e04acf5

Tipo de arquivo: dll

Tamanho: 684,032 byte

Primeira detecção: 2022-10-13

Assinatura AV: Dridex

Imphash: fd5af0ab7a5a3177d30a084a47566c4a

Relatado por: albertzsigovits

Tags: dll, Dridex, entropy, Ransomware

Análise estática: baseada em metadados (amostra não baixada)

Dridex — Perfil do malware

Dridex Bugat TA505 banking trojan. Chrome/Firefox form hooking with obfuscated strings. DirectUI RTTI.

Tipo de malware

Other

Linguagem de programação

C++

Protocolo C2

HTTPS

Sistemas-alvo

Windows

Também conhecido como (AKA)

Bugat

Detalhes técnicos

Dridex (Bugat/Cridex) is a modular banking trojan operated by TA505/Evil Corp since 2011. Uses peer-to-peer botnet architecture for C2 communication to resist takedowns. Modules: form grabber, VNC backdoor, network proxy, credential stealer, spread module. Encrypted communication: RC4 + custom protocol over HTTP. Delivered via Microsoft Office macro phishing (VBA macros). Used to deliver: BitPaymer, WastedLocker, Grief (PayOrGrief) ransomware. Evil Corp sanctioned by US Treasury October 2019, making ransom payments illegal for US entities. Dridex infrastructure heavily overlaps with Locky ransomware campaigns. Botnet IDs (bot IDs): 220, 444, 7777, multiple active botnets simultaneously.

Atribuição / Ator da ameaça

Evil Corp (TA505), Maksim Yakubets (indicted by FBI)

Capacidades e comportamento

Zararlı Yazılım Aktivitesi

Kalıcılık Mekanizması

C2 İletişimi

Anti-Analiz

Lista IOC (1 indicadores)

IOC — Dridex

# FILEPATH
0457768f9d8d70ff59275c27bc99d45c1c48cf1e932d29c3f2e9d5e037acd802

Tipo	Valor	Nota
filepath	0457768f9d8d70ff59275c27bc99d45c1c48cf1e932d29c3f2e9d5e037acd802	PDB

Dridex — Ver perfil completo →

Servidores C2 (3 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
79.141.164.52	ip	4444	TCP	sinkholed	RO
185.234.218.151	ip	4444	HTTPS	sinkholed	RU
77.73.133.84	ip	443	HTTPS	sinkholed	BG

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.