| Hash / Informação | Valor |
|---|---|
| SHA256 | 39f98e51bcd3696766ee8f0e7c7f7b5d87d75ed730a19ef63cbf88b74cf8f0cd |
| MD5 | 528cc107d6975d8f751095e54bce7511 |
| SHA1 | a40731073bfa54b9e89b41ba00fca06112baf619 |
| Arquivo Adi | index.html |
| Tipo de arquivo | docx |
| Tamanho | 145,280 bytes |
| Primeira detecção | 2024-12-18 |
Tehdit Valorlendirmesi
Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.
Capacidades detectadas
- Payload Indirme
- Surec Enjeksiyonu
- Kalicilik
- Anti-Analiz
- Sifrelenmis Iletisim
Tags do MalwareBazaar
Nota de análise
Bu ornek Emotet ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.
Emotet — Perfil do malware
Emotet (Heodo/Mealybug/TA542) 32-bit DLL payload. Process enumeration via CreateToolhelp32Snapshot+Process32First/Next. VirtualAlloc+VirtualProtect shellcode staging. ntdll.dll direct calls. Low entropy 3.92 (stage-1 loader/encoded payload). Suspicious imagebase and DOS stub.
Detalhes técnicos
C dili, HTTP C2 (RSA+AES sifreleme), modular yapi (email stealer, spreader, Outlook harvester), process hollowing, living off the land (regsvr32, mshta, certutil), Epoch1/2/3/4/5 botnet
Atribuição / Ator da ameaça
TA542 (MUMMY SPIDER) - Ukrayna kokenli oldugu dusunulen organizasyon. 2021'de Europol/FBI tarafindan coguyla tutuklandi; 2022'de geri dondu.
Capacidades e comportamento
Lista IOC (2 indicadores)
# SHA256
39f98e51bcd3696766ee8f0e7c7f7b5d87d75ed730a19ef63cbf88b74cf8f0cd
# MD5
528cc107d6975d8f751095e54bce7511
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 39f98e51bcd3696766ee8f0e7c7f7b5d87d75ed730a19ef63cbf88b74cf8f0cd | |
| md5 | 528cc107d6975d8f751095e54bce7511 |
Servidores C2 (7 servidores registrados para esta família)
| Endereço | Tipo | Porta | Protocolo | Status | País |
|---|---|---|---|---|---|
| 41.216.188.11 | ip | 8000 | HTTP | active | — |
| 103.143.173.206 | ip | 443 | HTTPS | inactive | ID |
| 144.91.65.153 | ip | 7080 | HTTP | inactive | DE |
| 195.88.54.144 | ip | 8080 | HTTP | sinkholed | — |
| 103.43.46.149 | ip | 443 | HTTPS | sinkholed | — |
| 185.220.101.32 | ip | 80 | HTTP | sinkholed | DE |
| 5.135.183.154 | ip | 8080 | HTTP | sinkholed | FR |
Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.