威胁摘要
家族RemusStealer
威胁等级严重
Platform.NET (C#)
PackerTespit edilmedi (de-pumped)
SHA2562a169c4c4471f3c37d1e220155d710eb...
首次发现2026-06-29
检测方法MalwareBazaar + 特征匹配
置信度MEDIUM
文件信息
| 属性 | 值 |
|---|---|
| SHA256 | 2a169c4c4471f3c37d1e220155d710eb7a0cafead7552e48fdab8f9d4d9e5bb0 |
| MD5 | a034e6fcb5bba561da5b1261726cfc9d |
| SHA1 | |
| 文件名 | recuva_professional__technician_(2026)_full_español_[mega].exe |
| 大小 | 1,291,966 bytes |
| 架构 | x86 |
| 编译日期 | 未知 |
| Packer | Tespit edilmedi (de-pumped) |
| MB 首次发现 | 2026-06-29 |
| MB 标签 | exe, RemusStealer, de-pumped |
威胁概况
家族: RemusStealer 分类: 严重 置信度: MEDIUM
RemusStealer, sahte crack yazılımları (Recuva Professional gibi) aracılığıyla dağıtılan .NET tabanlı infostealer ailesidir. Çalışır çalışmaz Discord tokenları, kripto cüzdanları ve tarayıcı kimlik bilgilerini toplayarak Discord Webhook veya Telegram üzerinden saldırgana iletir. "de-pumped" etiketi, orijinal dosyanın boyutunun yapay olarak şişirilip sonra küçültüldüğünü göstermektedir. MB tarafından MalwareBazaar feed üzerinden yakalanmıştır.
检测到的功能
- Discord Token Theft
- Kripto Cüzdan Çalma (MetaMask, Exodus, Electrum)
- Tarayıcı Şifresi ve Cookie Çalma (Chrome, Firefox, Edge, Brave)
- Sistem Bilgisi Toplama (hwid, username, ip)
- Screenshot Alma
- Telegram/Discord Webhook ile C2
- Anti-Debug ve Sandbox Tespiti
Anti-Analiz Teknikleri
- Anti-Debug
- Sandbox tespiti
- VM kontrolü
Kalıcılık Mekanizmaları
Yok (one-shot stealer — tek çalışma, hızlı sızdırma)
Enjeksiyon Teknikleri
- Process Injection (Network/Web API calls)
C2 Sunucuları
C2 adresi statik analizde tespit edilemedi. Konfigürasyon büyük ihtimalle şifreli veya obfuscated.
Dinamik analiz (sandbox çalıştırma) ile C2 iletişimi izlenebilir.
IOC Listesi
| Tip | 值 |
|---|---|
| sha256 | 2a169c4c4471f3c37d1e220155d710eb7a0cafead7552e48fdab8f9d4d9e5bb0 |
| md5 | a034e6fcb5bba561da5b1261726cfc9d |
| domain | activeSweepmheap.fr |
| domain | atomic.Com |
| domain | bisect.de |
| domain | bits.Tr |
| domain | bytealg.Com |
| domain | cmp.Com |
| domain | destroy.fr |
| domain | dict.br |
| domain | dict.Com |
| domain | dict.me |
| domain | doSlow.de |
| domain | eq.io |
| domain | eq.reflect.me |
| domain | eq.reflect.Me |
| domain | eq.ru |
| domain | eq.runtime.Fr |
| domain | eq.runtime.tr |
| domain | eq.syscall.WS |
| domain | exithook.ru |
| domain | exithook.Ru |
| domain | exithook.Run.de |
| domain | Find.de |
| domain | flush.de |
| domain | fmtsort.com |
| domain | freemheap.fr |
| domain | godebug.ru |
| domain | godebugs.Info |
| domain | godebug.update.de |
| domain | handleMethods.de |
| domain | hash.ru |
Öneriler
- Hash değerlerini EDR/SIEM sistemlerinize ekleyin
- Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
- Registry autorun anahtarlarını periyodik kontrol edin
- MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
- Şüpheli process injection aktivitelerini izleyin
RemusStealer — 恶意软件档案
RemusStealer, infostealer kategorisinde bir malware ailesidir. Yetenekler: Process Injection, Persistence, Network/Download, Encryption, Ransomware Behavior.
恶意软件类型
Infostealer
编程语言
.NET/C#
C2协议
HTTP
目标系统
Küresel
技术细节
.NET/C#, HTTP POST C2, browser credential theft, clipboard monitor, screenshot, anti-VM kontrolleri
能力与行为
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC列表 (5 个指标)
IOC — RemusStealer
# SHA256
2a169c4c4471f3c37d1e220155d710eb7a0cafead7552e48fdab8f9d4d9e5bb0
# MD5
a034e6fcb5bba561da5b1261726cfc9d
# DOMAIN
eq.runtime.Fr
# DOMAIN
eq.runtime.tr
# DOMAIN
handleMethods.de
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 2a169c4c4471f3c37d1e220155d710eb7a0cafead7552e48fdab8f9d4d9e5bb0 | |
| md5 | a034e6fcb5bba561da5b1261726cfc9d | |
| domain | eq.runtime.Fr | |
| domain | eq.runtime.tr | |
| domain | handleMethods.de |