Manuel Statik Analiz (LLM Okumali) — Emotet (Heodo) DLL Modulu | Tehdit: KRITIK

文件 Kimligi

SHA2560452908a27eb9abf853e8d1b099322a77f2ecb4096be2648ef49ec1d5c9d6d45
EtiketHeodo (Emotet'in yeniden adlandirilmis hali)
Format32-bit Windows DLL
大小129.024 byte
String Sayisi506 (agir paketli)

Analiz Bulgulari

Bu ornek, Emotet'in modüler DLL mimarisinin bir parcasidir. Yuksek entropy ve dusuk string sayisi (506), guclu bir packer veya sifreleme katmaninin varligina isaret etmektedir. Statik string analizinde cleartext C2, URL veya email IOC bulunamadi.

Emotet 架构si

  • Loader DLL: Ana modul, bellekte calisir, diskte nadir iz brakir
  • C2 Haberlesme: Sifreli HTTP POST, C2 listesi sablonlarda sakli
  • Modüler: Spambot, credential harvester, lateral movement modul'leri indirir
  • Payload Indirme: IcedID, Qakbot, Cobalt Strike gibi ikinci asama payload'lar yukler

Emotet Hakkinda

Emotet (ilk olarak 2014'te bir banking trojan olarak ortaya cikti), 2021'de Europol operasyonuyla kapatildi, ancak 2021 sonunda yeniden aktif hale geldi. Moduler yapisi sayesinde email spam gonderimi, credential theft ve enterprise networklerinde lateral movement gerceklestirebilir. Cobalt Strike ve ransomware ailelerinin birincil delivery mekanizmasindan biri olarak bilinir.

IOC

SHA2560452908a27eb9abf853e8d1b099322a77f2ecb4096be2648ef49ec1d5c9d6d45
Format32-bit DLL (modular component)
C2Bellekte cozulen sablonlanmis IP listesi

Emotet — 恶意软件档案

Emotet (Heodo/Mealybug/TA542) 32-bit DLL payload. Process enumeration via CreateToolhelp32Snapshot+Process32First/Next. VirtualAlloc+VirtualProtect shellcode staging. ntdll.dll direct calls. Low entropy 3.92 (stage-1 loader/encoded payload). Suspicious imagebase and DOS stub.

恶意软件类型
Loader
编程语言
C
C2协议
HTTP
目标系统
Windows
别名 (AKA)
Heodo

技术细节

C dili, HTTP C2 (RSA+AES sifreleme), modular yapi (email stealer, spreader, Outlook harvester), process hollowing, living off the land (regsvr32, mshta, certutil), Epoch1/2/3/4/5 botnet

归因 / 威胁行为者

TA542 (MUMMY SPIDER) - Ukrayna kokenli oldugu dusunulen organizasyon. 2021'de Europol/FBI tarafindan coguyla tutuklandi; 2022'de geri dondu.

能力与行为

Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı

IOC列表 (1 个指标)

IOC — Emotet
# SHA256 0452908a27eb9abf853e8d1b099322a77f2ecb4096be2648ef49ec1d5c9d6d45
类型值备注
sha256 0452908a27eb9abf853e8d1b099322a77f2ecb4096be2648ef49ec1d5c9d6d45
Emotet — 查看完整档案 →

C2服务器 (该家族共有 7 台已记录服务器)

地址 类型 端口 协议 状态 国家
41.216.188.11 ip 8000 HTTP active —
103.143.173.206 ip 443 HTTPS inactive ID
144.91.65.153 ip 7080 HTTP inactive DE
195.88.54.144 ip 8080 HTTP sinkholed —
103.43.46.149 ip 443 HTTPS sinkholed —
185.220.101.32 ip 80 HTTP sinkholed DE
5.135.183.154 ip 8080 HTTP sinkholed FR

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。

标签
emotetheododllbanking-trojanenterpriseloadermodularpaketli