Bumblebee Loader -- 1.8MB, GlobalSign TLS CRL, odoca.com Domain, Anti-Debug | Kritik

Manuel Statik Analiz — Bumblebee Loader | Tehdit: KRITIK

Fichier Kimliği

SHA256	`670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2`
Taille	1.852.656 byte (1.8MB)
String Sayisi	7.909

TLS CRL Doğrulama

http://crl.globalsign.com/ca/gstsacasha384g4.crl0
http://crl.globalsign.com/root-r6.crl
-- GlobalSign Certificate Revocation List doğrulama
-- TLS ile güvenli C2 iletişimi (sertifika doğrulama)

Şüpheli C2 Domain

odoca.com  -- Bumblebee C2 domain (şüpheli, CDN değil)

C2 Config Fragmentleri

wC2%];, FC2ER, ZC2;a  -- C2 sunucu config fragmentleri

Anti-Debug

IsDebuggerPresent  -- Debugger tespiti

Bumblebee Hakkında

Bumblebee, 2022'den beri aktif olan gelişmiş C++ loader ailesidir. Conti ve Lazarus Group ile bağlantılı olduğu değerlendirilmektedir. ISO/VHD/LNK dağıtım zinciri kullanır. Cobalt Strike, Metasploit Meterpreter gibi post-exploitation araçlarını ve ransomware payload'larını indirir. Anti-analiz, anti-debug ve process hollowing özellikleri vardır.

IOC

SHA256	`670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2`
C2	odoca.com

BumbleBee — Profil du malware

Bumblebee, 2022 den aktif C++ loader. Conti/Lazarus bağlantılı. ISO/VHD/LNK dağıtım. Cobalt Strike dropper. Anti-debug.

Type de malware

Loader

Langage de programmation

C++

Protocole C2

HTTPS

Systèmes ciblés

Windows

Détails techniques

Loader ailesi: HTTP/HTTPS C2, payload sifre cozme ve bellek icerisinde yükleme, anti-sandbox/VM kontrolleri, process injection, persistence mekanizmasi, yükü indirme ve calistirma zinciri

Capacités et comportement

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

Liste IOC (1 indicateurs)

IOC — Bumblebee

# SHA256
670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2

Type	Valeur	Note
sha256	670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2

Bumblebee — Voir le profil complet →

Serveurs C2 (3 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
odoca.com	domain	443	HTTPS	active	—
108.61.55.248	ip	443	HTTPS	inactive	US
45.8.146.78	ip	443	HTTPS	inactive	RU

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.