Manuel Statik Analiz — Tofsee Spam Botnet | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | ec21a7eb3f763990280dfa0be8634cxx3b5a52933cd2dcf90038755aa2e1b4f |
|---|---|
| 大小 | 78.336 byte (küçük spam gönderici) |
| String Sayisi | 546 |
Spam Hedefleri
mail.ru -- Rus e-posta platformu (hedef/spam relay) yahoo.com -- Yahoo Mail (spam dağıtım hedefi)
Geliştirici İpucu — Bruno
PDB: Geliştirici "Bruno" adlı kişi dosyayı doğrudan masaüstünde derlemiş!
C:\Users\Bruno\Desktop\file.exe -- Geliştirici: "Bruno" (muhtemelen Portekizce konuşan) -- Masaüstünde "file.exe" adıyla derleme (acemi işareti?)
Anti-Debug
NtQueryInformationToken -- Token erişim kontrolü (sandbox tespit) GetTickCount -- Timing anti-debug
Tofsee Hakkında
Tofsee (Gheg/Cutwail), 2013'ten beri aktif spam botnetidir. Kripto para dolandırıcılığı, phishing ve malware dağıtımı için toplu e-posta göndermede kullanılır. Çift katmanlı şifreleme ve P2P ağ mimarisi kullanır. Bitcoin mining modülü de barındırır.
IOC
| SHA256 | ec21a7eb3f763990280dfa0be8634cxx3b5a52933cd2dcf90038755aa2e1b4f |
|---|---|
| PDB | C:\\Users\\Bruno\\Desktop\\file.exe |
| Spam Hedef | mail.ru, yahoo.com |
Tofsee — 恶意软件档案
Tofsee spambot. Bruno Desktop file.exe PDB. NtQueryInformationToken privilege. ESMTP mx connect. respons typo.
恶意软件类型
Botnet
编程语言
C++
C2协议
TCP
目标系统
Kuresel Email
能力与行为
DDoS Saldırısı
Botnet Genişletme
Brute Force Taran
Payload Dağıtımı
Uzaktan Komut
Ağ Tarama
Kimlik Bilgisi Çalma
IoT Cihaz Kontrolü
IOC列表 (2 个指标)
IOC — Tofsee
# DOMAIN
mail.ru
# DOMAIN
yahoo.com
| 类型 | 值 | 备注 |
|---|---|---|
| domain | mail.ru | |
| domain | yahoo.com |