GuLoader2 -- recibo4747.exe İspanyolca Makbuz, .DEFAULT International Çift Locale Tespit, Registry Silme | Yüksek

Manuel Statik Analiz — GuLoader | Tehdit: YUKSEK

Arquivo Kimliği

SHA256	`72e855025d02c02f815041b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Nome do arquivo	recibo4747.exe (İspanyolca/Portekizce "makbuz")
Tamanho	815.041 byte (796KB)
String Sayisi	3.257

recibo4747.exe: İspanyolca Makbuz Lürü

recibo4747.exe
-- "recibo" = İspanyolca/Portekizce: makbuz/fatura/tahsilat
-- "4747" = sahte belge numarası
-- Hedef bölge: İspanyolca/Portekizce konuşulan ülkeler
-- İspanya, Portekiz, Latin Amerika, Brezilya kampanyası

Çift Locale Tespiti

SANDBOX KAÇINMA: İki farklı locale kontrolü!

.DEFAULT\Control Panel\International
-- "HKEY_USERS\.DEFAULT" = varsayılan kullanıcı profili
-- Sandbox'ta bu anahtar genellikle boştur → sandbox tespiti

Control Panel\Desktop\ResourceLocale
-- "HKEY_CURRENT_USER\Control Panel\Desktop\ResourceLocale"
-- İki ayrı yoldan locale kontrolü
-- Her ikisi de boşsa → VM/sandbox → çalışmayı durdur

GuLoader: CIS (Rusya, Belarus) locale tespitinde enfeksiyonu durduruyor

Registry Silme

RegDeleteKeyW -- registry anahtarı sil
RegEnumKeyW   -- registry anahtarlarını listele
-- GuLoader: izlerini siler (run key kaldırma)

IOC

SHA256	`72e855025d02c02f815041b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Lure	recibo4747.exe (İspanyolca makbuz)

GuLoader — Perfil do malware

GuLoader/CloudEyE NSIS/VB dropper. recibo Ispanyolca makbuz. Çift locale tespiti. Registry silme.

Tipo de malware

Loader

Linguagem de programação

Protocolo C2

HTTPS

Sistemas-alvo

Windows

Também conhecido como (AKA)

CloudEyE

Detalhes técnicos

Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri

Capacidades e comportamento

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

Lista IOC (1 indicadores)

IOC — GuLoader

# SHA256
72e855025d02c02f815041b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Tipo	Valor	Nota
sha256	72e855025d02c02f815041b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

GuLoader — Ver perfil completo →

Servidores C2 (4 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
45.155.37.29	ip	443	HTTPS	inactive	RU
onedrive-cloud-storage.com	domain	443	HTTPS	inactive	US
179.60.150.11	ip	80	HTTP	inactive	SE
185.250.151.13	ip	443	HTTPS	inactive	DE

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.