SystemBC -- BEGIN PRIVATE KEY Gömülü RSA Özel Anahtarı, Beş C2 Substring Ex$c2 d!C2$ c25a Xx|C2 eJXc2, SOCKS5 Proxy | Yüksek

Manuel Statik Analiz — SystemBC | Tehdit: YUKSEK

Arquivo Kimliği

SHA256	`3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Tamanho	1.691.136 byte (1.6MB)
String Sayisi	7.093

Gömülü RSA Özel Anahtarı!

CRÍTICO: RSA private key binary içinde plaintext!

-----BEGIN PRIVATE KEY-----
[... RSA private key data ...]
-----END PRIVATE KEY-----
-- RSA ÖZEL ANAHTARI binary içinde hardcoded!
-- SystemBC: C2 sunucusuyla TLS bağlantısı kurmak için bu private key kullanıyor
-- Self-signed TLS sertifikası → tarayıcı değil, özel protokol
-- Private key ifşası → saldırganın trafiği şifresi çözülebilir hale gelir
-- Conti ve Ryuk saldırılarında SystemBC proxy olarak kullanıldı

Beş C2 Substring

C2 KALIPLAR:

Ex$c2    -- büyük Ex dolar C2
d!C2$    -- küçük d ünlem C2 dolar
c25a&    -- c2 + 5a + ampersand
Xx|C2;   -- büyük Xx pipe C2 noktalı virgül
eJXc2    -- küçük eJX + c2

SystemBC: RaaS Proxy Altyapısı

SystemBC = SOCKS5 + HTTPS proxy RAT
-- Conti, Ryuk, REvil, DoppelPaymer C2 altyapısında kullanıldı
-- Infected makineyi proxy olarak kullanır → C2 trafiği kurban üzerinden
-- AV: meşru HTTPS trafiği gibi görünür
-- Modüler: ek plugin yükleyebilir

IOC

SHA256	`3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Özel Anahtar	BEGIN PRIVATE KEY (hardcoded RSA)

SystemBC — Perfil do malware

SystemBC proxy botnet. Embedded TLS private key BEGIN/END PRIVATE KEY PEM. Tor SOCKS5 proxy tunnel. Used by Ryuk/Conti/DoppelPaymer ransomware for C2 tunneling.

Tipo de malware

Loader

Linguagem de programação

C++

Protocolo C2

HTTPS

Sistemas-alvo

Windows

Também conhecido como (AKA)

Coroxy

Detalhes técnicos

Backdoor ailesi: TCP/HTTP C2, gizli uzak erisim, kalicilik mekanizmasi (servis/Registry), shell komutu calistirma, dosya transfer, anti-forensic teknikleri

Capacidades e comportamento

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

Lista IOC (1 indicadores)

IOC — SystemBC

# SHA256
3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

Tipo	Valor	Nota
sha256	3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

SystemBC — Ver perfil completo →

Servidores C2 (1 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
134.255.218.162	ip	4001	TCP	inactive	LV

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.