Manuel Statik Analiz — Gootloader (SEO Poisoning) | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | 3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 文件名 | Legal_Case_Management_Guide_2025.zip |
| 大小 | 87.335.340 byte (87MB!) — şişirilmiş boyut |
| String Sayisi | 962 |
SEO Poisoning Tuzağı
Hedef: Avukatlar, hukuk firmaları, paralegal çalışanlar — Google'da "Legal Case Management Guide 2025" aratanlar!
Legal_Case_Management_Guide_2025.zip -- "Legal Case Management" = hukuk dava yönetimi rehberi -- "2025" = güncel yıl (SEO için güncelleme kisvesi) -- Gootloader'ın imzası: meşru hukuk/sözleşme/şablon ZIP'leri -- Arama motoru zehirleme: Google'da üst sıralarda çıkar -- 87MB = gerçek boyutu gizlemek için padding
Anti-Debug
GetTickCount64 -- 64-bit zaman sayacı (zamanlama anti-debug) IsDebuggerPresent -- Debugger tespiti -- İkili koruma: hem zamanlama hem de API tespiti
Gootloader Hakkında
Gootloader (GootKit loader, FAUX_MEERKAT), 2020'den itibaren SEO poisoning ile yayılan gelişmiş JavaScript loader'dır. Google arama sonuçlarını zehirleyerek kurbanları sahte hukuk belgesi, sözleşme şablonu veya rehber indirmeye yönlendirir. Cobalt Strike, IcedID ve Kronos bankacılık trojanlarını yükler. ABD'deki hukuk firmalarını ve muhasebe şirketlerini hedefler.
IOC
| SHA256 | 3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Lure | Legal_Case_Management_Guide_2025.zip (87MB SEO poisoning) |
Gootloader — 恶意软件档案
GootLoader/GootKit v3 JavaScript loader. SEO zehirleme kampanyasi. Hukuki belge lurü. JScript dropper.
恶意软件类型
Loader
编程语言
JavaScript
C2协议
HTTPS
目标系统
Windows
别名 (AKA)
GootKit
技术细节
Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri
能力与行为
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
IOC列表 (1 个指标)
IOC — Gootloader
# SHA256
3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
C2服务器 (该家族共有 3 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| 23.227.203.68 | ip | 443 | HTTPS | active | US |
| 216.122.229.106 | ip | 443 | HTTPS | inactive | US |
| login.itwrx.com | domain | 443 | HTTPS | inactive | US |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。