Manuel Statik Analiz (LLM Okumali) — Eternity Stealer (AZORult Klon) | Tehdit: YUKSEK
文件 Kimligi
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Tag | Eternity (MalwareBazaar) |
AZORult ile Iliski
Binary string analizi sonucunda bu ornek AZORult stealer ile ayni C2 altyapisini ve string setini paylastigini gostermektedir. Eternity Stealer, AZORult kodunun rebrand veya repack edilmis bir varyantidir.
Her iki ornekte de ozdes stringler bulunmaktadir:
https://dotbit.me/a/— Blockchain DNS C2 cozucusuhttp://ip-api.com/json— Dis IP tespiti%APPDATA%\Telegram Desktop\tdata\— Telegram token calma
Bilinen Yetenekler (AZORult ile ortak)
- Steam kimlik bilgileri (Config/*.vdf)
- Telegram Desktop oturum datasi
- Pidgin IM hesap bilgileri
- Skype kimlik bilgileri
- Blockchain DNS ile C2 takip direnci
IOC
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Blockchain DNS | dotbit.me |
| IP Lookup | ip-api.com |
| 家族 Iliskisi | AZORult klon/repack |
AZORult — 恶意软件档案
AZORult, 2016 dan beri aktif Rus yapimi C++ infostealer ailesidir. Tarayici sifreleri, email, FTP, kripto cuzdan. 2019 sızdırılmıstır.
恶意软件类型
Infostealer
编程语言
Delphi
C2协议
HTTP
目标系统
Windows
技术细节
C++, HTTP POST C2, browser credential theft (Chromium/Firefox), cookie theft, cryptocurrency wallet stealer, Steam session stealer, screenshot, clipboard monitor, downloader capability
能力与行为
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC列表 (1 个指标)
IOC — AZORult
# SHA256
025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
C2服务器 (该家族共有 4 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| ip-api.com | domain | 80 | HTTP | active | — |
| azorult-panel.ru | domain | 80 | HTTP | inactive | RU |
| 176.109.116.153 | ip | 80 | HTTP | inactive | UA |
| dotbit.me | domain | 443 | HTTPS | inactive | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。