Manuel Statik Analiz — SolarMarker Backdoor | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | 8d610d9014d0f80bdf67d77cdd225bb31f9e7be798b3c5a4f7d0e2b6c9f1a3d6 |
|---|---|
| 文件名 | xABCDEFGHIJKLMNOPQRSTUVWXYZABC... (alfabe obfuskasyonu) |
| Tip | .dll |
| 大小 | 409.600 byte |
| String Sayisi | 2.626 |
Obfüskülenmiş 文件名
Gizleme: Alfabe karakterleri sıralı tekrarlama = rastgele görünen isim!
Base64 C2 Config
LC9pAc20x5Y8ep1ye1KhR2Nhm_T48IhH7sxFV_14yJyPVA2tZaUTYeLC4TJKPsNrkcqrfOLmIcgMrXgqjb2pF -- URL-safe Base64 kodlu C2 konfigürasyonu (86 karakter)
SolarMarker Hakkında
SolarMarker (Jupyter/Yellow Cockatoo), SEO poisoning ile kurumsal Google arama sonuçlarını zehirler. PDF veya Word belgesi gibi görünen dosyalar aracılığıyla yüklenir. Backdoor + credential stealer işlevi görür. AWS S3, Google Sites ve meşru platformları payload barındırma için kullanır.
IOC
| SHA256 | 8d610d9014d0f80bdf67d77cdd225bb31f9e7be798b3c5a4f7d0e2b6c9f1a3d6 |
|---|---|
| C2 Config | LC9pAc20x5Y8ep1ye1KhR2Nhm... (Base64) |
SolarMarker — 恶意软件档案
SolarMarker/Jupyter infostealer. PowerShell embedded host. Fake MSVCR120.dll error. Base64 payload. PSHost automation.
恶意软件类型
Backdoor
编程语言
PowerShell/.NET
C2协议
HTTPS
目标系统
Kurumsal
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — SolarMarker
# SHA256
8d610d9014d0f80bdf67d77cdd225bb31f9e7be798b3c5a4f7d0e2b6c9f1a3d6
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 8d610d9014d0f80bdf67d77cdd225bb31f9e7be798b3c5a4f7d0e2b6c9f1a3d6 |