Manuel Statik Analiz — SolarMarker (YellowCockatoo) | Tehdit: 中
文件 Kimliği
| SHA256 | 6d254c4ff86f1aa51592234b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 文件名 | install-x86 (2).exe ("(2)" = tarayıcıdan tekrar indirme!) |
| 大小 | 1.592.234 byte (1.6MB) |
| String Sayisi | 6.498 |
PowerShell WPF Yüklemesi
Add-Type -AssemblyName PresentationCore,PresentationFramework;[System.Windows.Message... -- Add-Type ile .NET WPF assembly yükleme -- PresentationFramework = Windows Presentation Foundation -- MessageBox gibi UI gösterme veya gizli WPF penceresi aracılığıyla payload çalıştırma -- PowerShell tek satır → anti-forensics
Bitcoin Cüzdanlar
116jt1i6vHZshXsa52CeHqtCd222NPJGZou 11CGykdcZbe1qoWj9kUybS3cRD4TanDjx1h
IOC
| SHA256 | 6d254c4ff86f1aa51592234b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| BTC | 116jt1i6vHZshXsa52CeHqtCd222NPJGZou |
SolarMarker — 恶意软件档案
SolarMarker/Jupyter infostealer. PowerShell embedded host. Fake MSVCR120.dll error. Base64 payload. PSHost automation.
恶意软件类型
Backdoor
编程语言
PowerShell/.NET
C2协议
HTTPS
目标系统
Kurumsal
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (2 个指标)
IOC — SolarMarker
# MUTEX
116jt1i6vHZshXsa52CeHqtCd222NPJGZou
# MUTEX
11CGykdcZbe1qoWj9kUybS3cRD4TanDjx1h
| 类型 | 值 | 备注 |
|---|---|---|
| mutex | 116jt1i6vHZshXsa52CeHqtCd222NPJGZou | BTC cüzdanı |
| mutex | 11CGykdcZbe1qoWj9kUybS3cRD4TanDjx1h | BTC cüzdanı |