Manuel Statik Analiz — BazarBackdoor | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | 313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| 文件名 | DragTest.dll (sürükle-bırak test DLL'i gibi) |
| 大小 | 653.312 byte (638KB) |
| String Sayisi | 2.425 |
accNavigate: IAccessible COM Erişilebilirlik Enjeksiyonu
accNavigate -- IAccessible::accNavigate = Windows COM Erişilebilirlik arayüzü -- COM Erişilebilirlik: ekran okuyucuların UI elemanlarına erişimi -- BazarBackdoor: accNavigate → süreç enjeksiyonu için accessibility hook -- Normal kullanım: MSAA (Microsoft Active Accessibility) -- Kötüye kullanım: başka sürecin penceresine erişim + enjeksiyon -- Alternatif APC/shellcode enjeksiyon vektörü
NoNetConnectDisconnect: Ağ Durumu Bayrağı
NoNetConnectDisconnect -- Ağ bağlantısı/kesintisi yönetimi bayrağı -- BazarBackdoor: belirli ağ durumlarında C2 bağlantısını yönetir -- "NoNet" → Disconnect etme! Bağlı kal! -- C2 dayanıklılığı: ağ kaybında yeniden bağlan
IOC
| SHA256 | 313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| DLL | DragTest.dll |
BazarBackdoor — 恶意软件档案
BazarBackdoor BazaLoader TrickBot follow-on. DragTest.dll. accNavigate COM injection.
恶意软件类型
Backdoor
编程语言
C++
C2协议
HTTPS
目标系统
Küresel
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — BazarBackdoor
# SHA256
313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |