Manuel Statik Analiz (LLM Okumali) — LokiBot Infostealer | Tehdit: HIGH
Archivo Kimligi
| SHA256 | 0b0389e4c1f10939013c69cd3b7acd17651bc09defa21ef62e03fccbe6d2e3a1 |
|---|---|
| Orijinal Ad | DHL Shipment DOC_643040277.exe |
| Tamaño | 666.120 byte (siki?tirma sonrasi) |
| Dil | VB.NET — .NET Framework |
| Imzalamama | Comodo RSA Code Signing (PuTTY sertifika zinciri icerir) |
Teslimat Vektoru - DHL Phishing + PuTTY Spoofing
Archivo, DHL kargo belgesi olarak sunulmaktadir. Icerisinde Comodo RSA sertifika zinciri bulunmakta; bu zincir PuTTY SSH istemcisinin orijinal publisher URL'ini (
chiark.greenend.org.uk/~sgtatham/putty/) icerir. Bu durum ya calinti sertifika ya da mezu sertifika zinciri kullanimi anlamina gelir.
C2 Altyapisi
LokiBot C2 URL'si binary icerisinde sifreli (RC4/XOR) olarak saklanmaktadir. Análisis estáticode C2 endpoint'i gorunur degildir. LokiBot C2 panelleri genellikle /gate.php veya /fre.php path'ini kullanir.
Bilinen LokiBot Yetenekleri
- Tarayici kimlik bilgileri: Chrome, Firefox, IE, Edge, Opera
- Email istemcisi: Outlook, Thunderbird, Postfix
- FTP istemcisi: FileZilla, WinSCP, Total Commander
- SSH: PuTTY (Bu ornekte PuTTY sertifika zinciri varligi bu hedefi dogruluyor)
- Kripto cüzdanlar: Bitcoin, Electrum, Ethereum
- Uzak masaustu: mRemoteNG, RDP kimlik bilgileri
- VPN: OpenVPN, NordVPN profilleri
IOC
| SHA256 | 0b0389e4c1f10939013c69cd3b7acd17651bc09defa21ef62e03fccbe6d2e3a1 |
|---|---|
| Archivo | DHL Shipment DOC_643040277.exe |
| C2 | Sifrelenmis (panel /gate.php veya /fre.php kullanir) |
| Sertifika | Comodo RSA — PuTTY sertifika zinciri iceren |
Nasil Kaldirilir?
- Tuim kaydedilmis sifreleri derhal degistirin
%APPDATA%altindaki suphelik exe dosyalarini kontrol edin- Registry Run key'lerini temizleyin
- Guncel AV taramasi yapilsin
Lokibot — Perfil del malware
LokiBot Loki PWS infostealer. Ordine di acquisto Italian PO ISO delivery. GetKeyNameTextW keylogger.
Tipo de malware
Infostealer
Lenguaje de programación
C++
Protocolo C2
HTTP
Sistemas objetivo
Windows
Detalles técnicos
C++, HTTP POST form-based C2, browser credential theft, FTP/SMTP/VPN stealer, Filezilla/WinSCP credential theft, anti-emulation (timing checks), steganography ile C2 IP gizleme
Capacidades y comportamiento
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
Lista IOC (1 indicadores)
IOC — LokiBot
# SHA256
0b0389e4c1f10939013c69cd3b7acd17651bc09defa21ef62e03fccbe6d2e3a1
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 0b0389e4c1f10939013c69cd3b7acd17651bc09defa21ef62e03fccbe6d2e3a1 |
Servidores C2 (2 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| 109.206.243.59 | ip | 80 | HTTP | inactive | RU |
| lokibot.net | domain | 80 | HTTP | sinkholed | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.