Manuel Statik Analiz — Latrodectus | Tehdit: YUKSEK
Archivo Kimliği
| SHA256 | b78dbc66a99cdec42012160b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Nombre de archivo | temp.tmp (geçici dosya görünümlü MSI paketi) |
| Tamaño | 2.012.160 byte (2MB MSI) |
| String Sayisi | 9.780 |
Doğrudan C2 URL'si
https://wazij.com/sel.php -- wazij.com: C2 yönetim sunucusu -- /sel.php: Select/Selection — bot seçim/kayıt endpoint'i -- AI_DOWs parametresi: bot kimliği veya komut parametresi -- PHP backend: dinamik bot yönetim paneli
Üçlü Anti-Debug
NtQueryInformationProcess -- Kernel-level process info (debug port) GetTickCount -- Zamanlama saldırısı IsDebuggerPresent -- Kullanıcı modu debugger API -- 3 farklı katmanda koruma → tek bypass yetmez
Latrodectus Hakkında
Latrodectus, 2023'te keşfedilen ve IcedID ile aynı altyapıyı kullanan yeni nesil loader'dır. Latrodectus = Kara Dul Örümcek (latincesi). Malvertising ve phishing ile dağıtılır. MSI veya JS ile gelir. Cobalt Strike, ransomware ve bilgi çalıcı payload'larını indirir. WizardSpider ve TA577 tehdit aktörleri kullanıyor.
IOC
| SHA256 | b78dbc66a99cdec42012160b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 | https://wazij.com/sel.php (PHP endpoint) |
Latrodectus — Perfil del malware
Latrodectus 2023 IcedID altyapısı. temp.tmp MSI kilik. wazij.com/sel.php gate. TA577/TA578. IcedID halefi loader.
Tipo de malware
Loader
Lenguaje de programación
C
Protocolo C2
HTTPS
Sistemas objetivo
Windows
Capacidades y comportamiento
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
Lista IOC (1 indicadores)
IOC — Latrodectus
# DOMAIN
wazij.com
| Tipo | Valor | Nota |
|---|---|---|
| domain | wazij.com |
Servidores C2 (2 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| wazij.com | domain | 443 | HTTPS | active | — |
| wazij.com | domain | 443 | HTTPS | active | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.