Manuel Statik Analiz — Tofsee Spambot | Tehdit: 中
文件 Kimliği
| SHA256 | ec21a7eb3f763990780336b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |
|---|---|
| 大小 | 78.336 byte (78KB — kompakt spambot) |
| String Sayisi | 546 (düşük — obfuskasyon) |
SMTP Spam Hedefi: mail.ru
mail.ru -- Rus email hizmeti mail.ru SMTP kullanılıyor -- Tofsee kurban mail.ru hesaplarından spam gönderiyor -- mail.ru = 100M+ Rusya/BDT kullanıcısı -- Çalınan hesap kimlik bilgileri ile gönderim -- SMTP gateway olarak meşru servis kötüye kullanılıyor
NtQueryInformationToken: Token Bilgi Sorgulama
NtQueryInformationToken -- NT API seviyesinde token sorgusu (IsDebuggerPresent yerine!) -- TokenIntegrityLevel: süreç bütünlük düzeyi kontrolü -- TokenElevationType: yönetici/standart kullanıcı tespiti -- Sandbox'lar düşük bütünlük token'ı döndürür → tespit! -- GetTickCount + NtQueryInformationToken = çift anti-analiz
Geliştirici Parmak İzi: Bruno
C:\Users\Bruno\Desktop\file.exe -- Developer "Bruno" (İspanyol/Portekiz/İtalyan ismi) -- \Desktop\file.exe = basit test dosya adı -- Geliştirici masaüstünden sızmış olabilir
Tofsee Hakkında
Tofsee (Gheg) 2013'ten beri aktif Rusça spam botnet'tir. Gmail, Yahoo, Mail.ru, Yandex SMTP kullanarak spam gönderir. Kripto madenciliği, DDoS, proxy ve credential hırsızlığı modülleri vardır. P2P mimarisi ile trafik şifreleme yeteneğine sahip.
IOC
| SHA256 | ec21a7eb3f763990780336b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |
|---|---|
| SMTP Hedef | mail.ru |
| PDB | C:\Users\Bruno\Desktop\file.exe |
| Anti-Debug | NtQueryInformationToken + GetTickCount |
Tofsee — 恶意软件档案
Tofsee spambot. Bruno Desktop file.exe PDB. NtQueryInformationToken privilege. ESMTP mx connect. respons typo.
恶意软件类型
Botnet
编程语言
C++
C2协议
TCP
目标系统
Kuresel Email
能力与行为
DDoS Saldırısı
Botnet Genişletme
Brute Force Taran
Payload Dağıtımı
Uzaktan Komut
Ağ Tarama
Kimlik Bilgisi Çalma
IoT Cihaz Kontrolü
IOC列表 (1 个指标)
IOC — Tofsee
# DOMAIN
mail.ru
| 类型 | 值 | 备注 |
|---|---|---|
| domain | mail.ru |