Manuel Statik Analiz (LLM Okumali) — BazarLoader (BazaLoader) | Tehdit: YUKSEK
文件 Kimligi
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| 文件 Adi | bz.dll |
| Format | PE DLL (agir paketleme) |
| 大小 | 192.512 byte |
| String Sayisi | 322 (CEKIRDEK) |
Paketleme Analizi
322 string, bu boyuttaki bir DLL icin son derece dusuktur. BazarLoader, C2 adresleri de dahil tum konfigurasyonu sifrelenmis sekilde barindirmaktadir. Runtime'da ECC + RC4 kombinasyonu ile sifre cozulmektedir.
BazarLoader Hakkinda
BazarLoader (BazaLoader), TrickBot geliştiricilerince 2020 yilindan itibaren kullanilmaya baslanmistir. Conti ransomware ile yakin iliskilendirilen bir initial access loader'dir. Mesgru gibi gorunen altyapi (blockchain DNS, HTTPS sertifika) kullanarak C2 gizler. Hedefler: Kurumsal aglar (RDP, Active Directory). Cobalt Strike ve Conti ransomware icin backdoor gorevi gorur.
IOC
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| Format | bz.dll |
| C2 | Sifrelenmis (Blockchain DNS/ECC) |
| Grup | TrickBot / Conti ekibi |
BazarLoader — 恶意软件档案
BazarLoader BazaLoader TrickBot group loader. xigcgabbzkswmicmkatl shared Trigona mutex. DGA 20-char campaign IDs.
恶意软件类型
Loader
编程语言
C++
C2协议
HTTPS
目标系统
Windows
别名 (AKA)
BazarBackdoor
能力与行为
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
IOC列表 (1 个指标)
IOC — BazarLoader
# SHA256
b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |