GootLoader | Tehdit Seviyesi: high | Tür: Loader
Kriptografik Tanımlayıcılar
| SHA256 | 40531325a0b291947914591060d561c685f900628d554cf43cc2371bf4599a8f |
|---|---|
| MD5 | 5f761a954992d759fe1ab41bc4e5f137 |
| Dosya Türü | js |
| Boyut | 13173.0 KB |
| İlk Görülme | 2024-08-06 |
| Dosya Adı | indiana landlord-tenant law utilities 22224.js |
| Etiketler | cookcountyjudges-org, GootLoader, js |
Malware Ailesi: GootLoader
GootLoader, SEO zehirleme ile yayılır.
| Tür | Loader |
|---|---|
| Programlama Dili | JavaScript |
| Hedef Platform | Windows |
| C2 Protokolü | HTTPS |
| Amaç | SEO zehirleme loader |
| İlk Görülen Yıl | 2020 |
| Diğer İsimler | GootKit |
Tehdit Göstergeleri (IOC)
- SHA256:
40531325a0b291947914591060d561c685f900628d554cf43cc2371bf4599a8f - MD5:
5f761a954992d759fe1ab41bc4e5f137
Sistem Temizleme Rehberi
- Sistemi ağdan ayırın — Loader başka zararlı yazılım indiriyor olabilir
- İndirilen tüm payload'ları analiz edin
- Tüm ağ trafiğini inceleyin, şüpheli bağlantıları kesin
- Antivirüs ile tam tarama yapın
- Sistem yenileme düşünün
YARA Kuralı İpuçları
rule GootLoader_SHA256 {
meta:
description = "GootLoader sample: 40531325a0b29194"
threat_level = "high"
first_seen = "2024-08-06"
condition:
hash.sha256(0, filesize) == "40531325a0b291947914591060d561c685f900628d554cf43cc2371bf4599a8f"
}Gootloader — Perfil del malware
GootLoader/GootKit v3 JavaScript loader. SEO zehirleme kampanyasi. Hukuki belge lurü. JScript dropper.
Tipo de malware
Loader
Lenguaje de programación
JavaScript
Protocolo C2
HTTPS
Sistemas objetivo
Windows
También conocido como (AKA)
GootKit
Detalles técnicos
Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri
Capacidades y comportamiento
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
Lista IOC (2 indicadores)
IOC — GootLoader
# SHA256
40531325a0b291947914591060d561c685f900628d554cf43cc2371bf4599a8f
# MD5
5f761a954992d759fe1ab41bc4e5f137
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 40531325a0b291947914591060d561c685f900628d554cf43cc2371bf4599a8f | |
| md5 | 5f761a954992d759fe1ab41bc4e5f137 |
Servidores C2 (3 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| 23.227.203.68 | ip | 443 | HTTPS | active | US |
| 216.122.229.106 | ip | 443 | HTTPS | inactive | US |
| login.itwrx.com | domain | 443 | HTTPS | inactive | US |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.