Manuel Statik Analiz — Phorpiex Botnet | Tehdit: KRITIK
文件 Kimliği
| SHA256 | 12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b |
|---|---|
| 大小 | 113.664 byte |
| String Sayisi | 758 |
Açık Metin C2 Payload URL'leri -- DOGRULANMIS
KRITIK: Payload indirme URL'leri açık metin tespit edildi.
http://178.16.54.109/lb10.exe -- Payload indirme C2 #1 http://178.16.54.109/lb11.exe -- Payload indirme C2 #2 http://178.16.54.109/lb12 -- Payload indirme C2 #3
GeoIP Konumlama
ip-api.com -- Kurban GeoIP konum tespiti
Phorpiex Hakkında
Phorpiex (Trik), 2016'dan beri aktif botnet ailesidir. Sextortion spam kampanyaları, kripto jacking ve ransomware (Avaddon, GandCrab) dağıtımı yapmaktadır. P2P ve HTTP C2 karışımı kullanır. lb*.exe pattern ile sıralı payload indirir.
IOC
| SHA256 | 12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b |
|---|---|
| C2 | 178.16.54.109 |
| Payload | lb10.exe, lb11.exe, lb12 |
Phorpiex — 恶意软件档案
Phorpiex/Trik botnet. 178.16.54.109 C2 IP. lb10/lb11/lb12 cok asamali payload. Spam + crypto mining + clipper.
恶意软件类型
Botnet
编程语言
C++
C2协议
HTTP/P2P
目标系统
Kuresel
能力与行为
DDoS Saldırısı
Botnet Genişletme
Brute Force Taran
Payload Dağıtımı
Uzaktan Komut
Ağ Tarama
Kimlik Bilgisi Çalma
IoT Cihaz Kontrolü
IOC列表 (1 个指标)
IOC — Phorpiex
# SHA256
12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 12815f32a4ba6e897e3c5f1a4b9d8e2f7c0a3b6d9e1f4c7a0b2d5e8f1a4c6e9b |
C2服务器 (该家族共有 4 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| 178.16.54.109 | ip | — | HTTP | active | — |
| 178.16.54.109 | ip | 80 | HTTP | active | — |
| 178.16.54.109 | ip | 80 | HTTP | active | — |
| 178.16.54.109 | ip | 80 | HTTP | active | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。