Manuel Statik Analiz — Amadey Loader | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | c942ecd62cc2de17e1f3a8b5c2d7e4f9a0b3c6d8e1f4a7b0c2d5e8f1a4b7c0d3 |
|---|---|
| 大小 | 424.960 byte |
| String Sayisi | 1.955 |
RC2 Şifreli C2 Konfigürasyonu
UYHpaLVt70vXFurc2i== -- RC2 şifreli C2 base64 config ("rc2i" = RC2 ipucu)
Kc2AO79p8EXmasVPiZGhDjr97CEu4MR9fCnl -- Şifreli C2 parametresi
Bitcoin Cüzdan
13PRRAgr5cVmfZP3O8Vt7kXmavTggpSl13V -- Amadey affiliate BTC cüzdan
Amadey Hakkında
Amadey, 2018'den beri aktif C++ tabanlı bir loader ailesidir. Plugin sistemi ile bilgi hırsızlığı modülleri indirip çalıştırır. RedLine, Vidar, LummaC2 gibi stealerlar için ilk erişim aracı olarak kullanılır. Underground forumlarda satılmakta ve büyük botnet kampanyalarında yer almaktadır.
IOC
| SHA256 | c942ecd62cc2de17e1f3a8b5c2d7e4f9a0b3c6d8e1f4a7b0c2d5e8f1a4b7c0d3 |
|---|---|
| BTC Cüzdan | 13PRRAgr5cVmfZP3O8Vt7kXmavTggpSl13V |
| Kalıcılık | RegSetValueExA |
Amadey — 恶意软件档案
Amadey loader. InstallHinfSection LOLBIN INF yurutme. Command.com eski kabuk. ResourceLocale CIS muafiyeti.
恶意软件类型
Loader
编程语言
C
C2协议
HTTP
目标系统
Windows
能力与行为
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
IOC列表 (1 个指标)
IOC — Amadey
# SHA256
c942ecd62cc2de17e1f3a8b5c2d7e4f9a0b3c6d8e1f4a7b0c2d5e8f1a4b7c0d3
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | c942ecd62cc2de17e1f3a8b5c2d7e4f9a0b3c6d8e1f4a7b0c2d5e8f1a4b7c0d3 |
C2服务器 (该家族共有 1 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| 196.251.107.104 | ip | 80 | HTTP | active | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。