AZORult Stealer — Blockchain DNS C2 Kacamagi, Keygen Lure, Steam/Telegram/Skype Hedefleme | Yuksek

Manuel Statik Analiz (LLM Okumali) — AZORult Stealer | Tehdit: YUKSEK

Fichier Kimligi

SHA256	`353b74e4fca84879a4f7406e1ab7972761bfec524b15294b9feab567b8d0744b`
Orijinal Ad	keygen-step-1.exe
Taille	114.688 byte

Teslimat Vektoru — Yazilim Krac/Keygen Tuzagi

keygen-step-1.exe adlandirmasi, mecrua bir yazilim seri numarasi (keygen) olarak sunulmaktadir. Bu tur cracked yazilim ve keygen dagitim kanallari AZORult icin son derece yaygin bir teslimat vektörüdür. Kurbanlar korsan yazilim edinmek amacliyla kendileri bu dosyayi indirmektedir.

C2 Altyapisi — Blockchain DNS Kacamagi

Blockchain DNS Tespiti: AZORult, gercek C2 IP adresini blockchain tabanli alan adi sisteminde saklayarak geleneksel DNS kaydi kaldirma (takedown) islemlerinden kacmaktadir.

Blockchain Cozucu	`https://dotbit.me/a/`
IP Tespiti	`http://ip-api.com/json`
C2 Tip	HTTP/HTTPS — panel C2

AZORult, hedef makinin gercek IP adresini ip-api.com araciligiyla tespit eder; C2 sunucusu adresi ise blockchain yapisindaki .bit alan adlarindan dotbit.me cozucu ile cozumlenir. Bu yontem DNS bazli blacklist/takedown girimslerine karsi direnclidir.

Hedeflenen Uygulamalar (Binary String Dogrulamali)

Hedef	Yol / Indicator
Steam	`\Config\*.vdf` — Steam login token dosyalari
Telegram Desktop	`%APPDATA%\Telegram Desktop\tdata\`
Pidgin IM	`%APPDATA%\.purple\accounts.xml`
Skype	`%APPDATA%\Skype`
Email (tum istemciler)	`PasswordsList.txt` toplama dosyasi

Dikkat Cekici Stringler

UHJvY2Vzc29yTmFtZVN0cmluZw==   (base64 decode: "ProcessorNameString" — CPU bilgisi toplama)
353E77DF-928B-4941-A631-...     (mutex/bot ID GUID)
 /         (config XML)
HostName / PortNumber           (C2 host:port config)
PasswordsList.txt               (toplanan sifre cikti dosyasi)

IOC

SHA256	`353b74e4fca84879a4f7406e1ab7972761bfec524b15294b9feab567b8d0744b`
Blockchain DNS	`dotbit.me`
IP Lookup	`ip-api.com`

Nasil Kaldirilir?

Steam, Telegram, Skype sifrelerini acilen degistirin
Steam 2FA etkinlestirin
Telegram oturumlarini kontrol edin ve bilinmeyen cihazlari kaldirin
Guncel AV taramasi yapilsin

AZORult — Profil du malware

AZORult, 2016 dan beri aktif Rus yapimi C++ infostealer ailesidir. Tarayici sifreleri, email, FTP, kripto cuzdan. 2019 sızdırılmıstır.

Type de malware

Infostealer

Langage de programmation

Delphi

Protocole C2

HTTP

Systèmes ciblés

Windows

Détails techniques

C++, HTTP POST C2, browser credential theft (Chromium/Firefox), cookie theft, cryptocurrency wallet stealer, Steam session stealer, screenshot, clipboard monitor, downloader capability

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — AZORult

# SHA256
353b74e4fca84879a4f7406e1ab7972761bfec524b15294b9feab567b8d0744b

Type	Valeur	Note
sha256	353b74e4fca84879a4f7406e1ab7972761bfec524b15294b9feab567b8d0744b

AZORult — Voir le profil complet →

Serveurs C2 (4 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
ip-api.com	domain	80	HTTP	active	—
azorult-panel.ru	domain	80	HTTP	inactive	RU
176.109.116.153	ip	80	HTTP	inactive	UA
dotbit.me	domain	443	HTTPS	inactive	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.