Manuel Statik Analiz — BazarBackdoor | Tehdit: YUKSEK
Fichier Kimliği
| SHA256 | 313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Nom du fichier | DragTest.dll (sürükle-bırak test DLL'i gibi) |
| Taille | 653.312 byte (638KB) |
| String Sayisi | 2.425 |
accNavigate: IAccessible COM Erişilebilirlik Enjeksiyonu
accNavigate -- IAccessible::accNavigate = Windows COM Erişilebilirlik arayüzü -- COM Erişilebilirlik: ekran okuyucuların UI elemanlarına erişimi -- BazarBackdoor: accNavigate → süreç enjeksiyonu için accessibility hook -- Normal kullanım: MSAA (Microsoft Active Accessibility) -- Kötüye kullanım: başka sürecin penceresine erişim + enjeksiyon -- Alternatif APC/shellcode enjeksiyon vektörü
NoNetConnectDisconnect: Ağ Durumu Bayrağı
NoNetConnectDisconnect -- Ağ bağlantısı/kesintisi yönetimi bayrağı -- BazarBackdoor: belirli ağ durumlarında C2 bağlantısını yönetir -- "NoNet" → Disconnect etme! Bağlı kal! -- C2 dayanıklılığı: ağ kaybında yeniden bağlan
IOC
| SHA256 | 313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| DLL | DragTest.dll |
BazarBackdoor — Profil du malware
BazarBackdoor BazaLoader TrickBot follow-on. DragTest.dll. accNavigate COM injection.
Type de malware
Backdoor
Langage de programmation
C++
Protocole C2
HTTPS
Systèmes ciblés
Küresel
Capacités et comportement
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Liste IOC (1 indicateurs)
IOC — BazarBackdoor
# SHA256
313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f
| Type | Valeur | Note |
|---|---|---|
| sha256 | 313a5c2146a7117f0bf844c53b5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |