Manuel Statik Analiz — Phorpiex Botnet | Tehdit: KRITIK
Arquivo Kimliği
| SHA256 | 12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b |
|---|---|
| Tamanho | 113.664 byte |
| String Sayisi | 758 |
Açık Metin C2 Payload URL'leri -- DOGRULANMIS
KRITIK: Payload indirme URL'leri açık metin tespit edildi.
http://178.16.54.109/lb10.exe -- Payload indirme C2 #1 http://178.16.54.109/lb11.exe -- Payload indirme C2 #2 http://178.16.54.109/lb12 -- Payload indirme C2 #3
GeoIP Konumlama
ip-api.com -- Kurban GeoIP konum tespiti
Phorpiex Hakkında
Phorpiex (Trik), 2016'dan beri aktif botnet ailesidir. Sextortion spam kampanyaları, kripto jacking ve ransomware (Avaddon, GandCrab) dağıtımı yapmaktadır. P2P ve HTTP C2 karışımı kullanır. lb*.exe pattern ile sıralı payload indirir.
IOC
| SHA256 | 12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b |
|---|---|
| C2 | 178.16.54.109 |
| Payload | lb10.exe, lb11.exe, lb12 |
Phorpiex — Perfil do malware
Phorpiex/Trik botnet. 178.16.54.109 C2 IP. lb10/lb11/lb12 cok asamali payload. Spam + crypto mining + clipper.
Tipo de malware
Botnet
Linguagem de programação
C++
Protocolo C2
HTTP/P2P
Sistemas-alvo
Kuresel
Capacidades e comportamento
DDoS Saldırısı
Botnet Genişletme
Brute Force Taran
Payload Dağıtımı
Uzaktan Komut
Ağ Tarama
Kimlik Bilgisi Çalma
IoT Cihaz Kontrolü
Lista IOC (1 indicadores)
IOC — Phorpiex
# SHA256
12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b |
Servidores C2 (4 servidores registrados para esta família)
| Endereço | Tipo | Porta | Protocolo | Status | País |
|---|---|---|---|---|---|
| 178.16.54.109 | ip | — | HTTP | active | — |
| 178.16.54.109 | ip | 80 | HTTP | active | — |
| 178.16.54.109 | ip | 80 | HTTP | active | — |
| 178.16.54.109 | ip | 80 | HTTP | active | — |
Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.