Archivo Kimliği
| SHA256 | 670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2 |
|---|---|
| Tamaño | 1.852.656 byte (1.8MB) |
| String Sayisi | 7.909 |
TLS CRL Doğrulama
http://crl.globalsign.com/ca/gstsacasha384g4.crl0 http://crl.globalsign.com/root-r6.crl -- GlobalSign Certificate Revocation List doğrulama -- TLS ile güvenli C2 iletişimi (sertifika doğrulama)
Şüpheli C2 Domain
odoca.com -- Bumblebee C2 domain (şüpheli, CDN değil)
C2 Config Fragmentleri
wC2%];, FC2ER, ZC2;a -- C2 sunucu config fragmentleri
Anti-Debug
IsDebuggerPresent -- Debugger tespiti
Bumblebee Hakkında
Bumblebee, 2022'den beri aktif olan gelişmiş C++ loader ailesidir. Conti ve Lazarus Group ile bağlantılı olduğu değerlendirilmektedir. ISO/VHD/LNK dağıtım zinciri kullanır. Cobalt Strike, Metasploit Meterpreter gibi post-exploitation araçlarını ve ransomware payload'larını indirir. Anti-analiz, anti-debug ve process hollowing özellikleri vardır.
IOC
| SHA256 | 670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2 |
|---|---|
| C2 | odoca.com |
BumbleBee — Perfil del malware
Bumblebee, 2022 den aktif C++ loader. Conti/Lazarus bağlantılı. ISO/VHD/LNK dağıtım. Cobalt Strike dropper. Anti-debug.
Detalles técnicos
Loader ailesi: HTTP/HTTPS C2, payload sifre cozme ve bellek icerisinde yükleme, anti-sandbox/VM kontrolleri, process injection, persistence mekanizmasi, yükü indirme ve calistirma zinciri
Capacidades y comportamiento
Lista IOC (1 indicadores)
# SHA256
670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2 |
Servidores C2 (3 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| odoca.com | domain | 443 | HTTPS | active | — |
| 108.61.55.248 | ip | 443 | HTTPS | inactive | US |
| 45.8.146.78 | ip | 443 | HTTPS | inactive | RU |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.