Manuel Statik Analiz (LLM Okumali) — Eternity Stealer (AZORult Klon) | Tehdit: YUKSEK
Archivo Kimligi
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Tag | Eternity (MalwareBazaar) |
AZORult ile Iliski
Binary string analizi sonucunda bu ornek AZORult stealer ile ayni C2 altyapisini ve string setini paylastigini gostermektedir. Eternity Stealer, AZORult kodunun rebrand veya repack edilmis bir varyantidir.
Her iki ornekte de ozdes stringler bulunmaktadir:
https://dotbit.me/a/— Blockchain DNS C2 cozucusuhttp://ip-api.com/json— Dis IP tespiti%APPDATA%\Telegram Desktop\tdata\— Telegram token calma
Bilinen Yetenekler (AZORult ile ortak)
- Steam kimlik bilgileri (Config/*.vdf)
- Telegram Desktop oturum datasi
- Pidgin IM hesap bilgileri
- Skype kimlik bilgileri
- Blockchain DNS ile C2 takip direnci
IOC
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Blockchain DNS | dotbit.me |
| IP Lookup | ip-api.com |
| Familia Iliskisi | AZORult klon/repack |
AZORult — Perfil del malware
AZORult, 2016 dan beri aktif Rus yapimi C++ infostealer ailesidir. Tarayici sifreleri, email, FTP, kripto cuzdan. 2019 sızdırılmıstır.
Tipo de malware
Infostealer
Lenguaje de programación
Delphi
Protocolo C2
HTTP
Sistemas objetivo
Windows
Detalles técnicos
C++, HTTP POST C2, browser credential theft (Chromium/Firefox), cookie theft, cryptocurrency wallet stealer, Steam session stealer, screenshot, clipboard monitor, downloader capability
Capacidades y comportamiento
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
Lista IOC (1 indicadores)
IOC — AZORult
# SHA256
025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
Servidores C2 (4 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| ip-api.com | domain | 80 | HTTP | active | — |
| azorult-panel.ru | domain | 80 | HTTP | inactive | RU |
| 176.109.116.153 | ip | 80 | HTTP | inactive | UA |
| dotbit.me | domain | 443 | HTTPS | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.