Manuel Statik Analiz — LaplasClipper | Tehdit: YUKSEK
Archivo Kimliği
| SHA256 | 3e41726d0ade4f378192b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f000 |
|---|---|
| Tamaño | 8.192 byte (8KB — çok küçük clipper!) |
| String Sayisi | 172 |
clipper.guru: C2 Domain
C2 TESPİT: Laplas'ın açık C2!
clipper.guru -- ".guru" = TLD (anlamlı isim seçimi) -- "clipper" = clipboard hijacker referansı -- Saldırgan: açık isme sahip domain seçmiş (OPSEC zayıf) -- Laplas Clipboard Hijacker: kripto cüzdan adresini değiştirir -- Kurban Bitcoin gönderirken adres değişir → para saldırgana gider
ApiKey + Config Yapısı
Config -- konfigürasyon bölümü ApiKey -- API anahtarı alanı (C2 kimlik doğrulama) Clipboard -- pano hijack fonksiyonu _runMutex -- çalışma mutex'i (çifte instance engeli) f0cd0c3938331a84425c6e784f577ccd87bb667cfdb44cc24 -- 47 karakter hex kimlik → dahili hash/tanımlayıcı -- Saldırgan paneli: bu hash ile agent takibi yapıyor
Laplas Çalışma Prensibi
1) _runMutex → zaten çalışıyor mu? 2) Config.ApiKey → C2'ye bağlan 3) Clipboard → pano içeriğini izle 4) Kripto adres tespiti (BTC/ETH/TRX/SOL regex) 5) Adres değiştir → saldırganın cüzdanı 6) Kurban: para saldırgana gitti!
IOC
| SHA256 | 3e41726d0ade4f378192b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f000 |
|---|---|
| C2 | clipper.guru |
| Config | ApiKey (kimlik doğrulama) |
LaplasClipper — Perfil del malware
LaplasClipper. clipper.guru C2. ApiKey config. Clipboard pano hijack. 8KB minimal binary.
Tipo de malware
Other
Lenguaje de programación
C#/.NET
Protocolo C2
C2 Panel + Clipboard
Sistemas objetivo
Kuresel — Kripto Yatirimcilari
Capacidades y comportamiento
Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz
Lista IOC (1 indicadores)
IOC — LaplasClipper
# SHA256
3e41726d0ade4f378192b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f000
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 3e41726d0ade4f378192b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f000 |
Servidores C2 (2 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| clipper.guru | domain | 443 | HTTPS | inactive | — |
| clipper.guru | domain | 443 | HTTPS | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.