SocGholish -- 262 Byte JS Stager, seattlemysterylovers.com Kitap Evi Sitesi Hack | Yüksek

Manuel Statik Analiz — SocGholish JavaScript Stager | Tehdit: YUKSEK

Arquivo Kimliği

SHA256	`8f896f3f0b5f33413217e9350dba6d4958cc9bdf568902xx1c4f7a0d3e6b9c2`
Tamanho	262 byte — İnsan gözüyle okunabilir JS stager!
String Sayisi	1 (tek URL)

Ele Geçirilmiş Web Sitesi — Seattle Mystery Lovers Kitabevi

Teknik: SocGholish meşru ve güvenilir web sitelerine enjekte ediliyor — kullanıcılar güvendikleri web sitelerini ziyaret ederek enfekte oluyor!

https://editions.seattlemysterylovers.com/I8l9JljrHk9H60cUFvxRBFHrRwRLqxNHRq4MU025Dkl
-- seattlemysterylovers.com = gerçek Seattle Mystery Lovers kitabevi
-- /editions/ alt dizininde zararlı JS enjekte edilmiş
-- Rastgele görünen URL yolu = gizlenmiş payload endpoint
-- 262 byte = minimal izlenimi bırakacak kadar küçük

SocGholish (FakeUpdates) Hakkında

SocGholish, TA569 tehdit aktörünün yönettiği drive-by download kampanyasıdır. Meşru web sitelerine zararlı JS enjekte eder ve kullanıcıya sahte "tarayıcı/yazılım güncellemesi" göstererek payload indirtir. WastedLocker ransomware ve BLISTER loader dağıtımında kullanılmıştır.

IOC

SHA256	`8f896f3f0b5f33413217e9350dba6d4958cc9bdf568902xx1c4f7a0d3e6b9c2`
C2	editions.seattlemysterylovers.com (ele geçirilmiş)
Aktör	TA569 / FakeUpdates

SocGholish — Perfil do malware

SocGholish FakeUpdates 2017. seattlemysterylovers.com ele gecirilmis kitabevi. 262 byte stager. CMS inject.

Tipo de malware

Loader

Linguagem de programação

JavaScript

Protocolo C2

HTTPS

Sistemas-alvo

Kuresel Web Tarayıcı

Capacidades e comportamento

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

Lista IOC (1 indicadores)

IOC — SocGholish

# DOMAIN
seattlemysterylovers.com

Tipo	Valor	Nota
domain	seattlemysterylovers.com

SocGholish — Ver perfil completo →

Servidores C2 (1 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
seattlemysterylovers.com	domain	443	HTTPS	active	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.