Identifiants cryptographiques
| SHA256 | 755181606486f4af669a5ca05724415bea2b504e342d9fc4f509a911d1b11415 |
|---|---|
| MD5 | 35930293a1c9a972122ade3c7fbd78e3 |
| Type de fichier | one |
| Taille | 262.0 KB |
| Première observation | 2023-03-23 |
| Nom du fichier | Opast International_1.one |
| Étiquettes | Emotet, Heodo, one |
Famille de malware: Emotet
Emotet, tehlikeli botnet'tir.
| Type | Loader |
|---|---|
| Langage de programmation | C |
| Plateforme cible | Windows |
| Protocole C2 | HTTP |
| Objectif | Kötü amaçlı yazılım dağıtımı |
| Année de première observation | 2014 |
| Autres noms | Heodo |
Indicateurs de menace (IOC)
- SHA256:
755181606486f4af669a5ca05724415bea2b504e342d9fc4f509a911d1b11415 - MD5:
35930293a1c9a972122ade3c7fbd78e3
Vous pouvez vérifier toutes les valeurs de hachage de cet échantillon sur VirusTotal.
Guide de nettoyage du système
- Déconnectez le système du réseau — le loader télécharge peut-être d’autres logiciels malveillants
- Analysez toutes les charges utiles téléchargées
- Inspectez tout le trafic réseau et coupez les connexions suspectes
- Effectuez une analyse antivirus complète
- Envisagez une réinstallation du système
Indices de règles YARA
rule Emotet_SHA256 {
meta:
description = "Emotet sample: 755181606486f4af"
threat_level = "critical"
first_seen = "2023-03-23"
condition:
hash.sha256(0, filesize) == "755181606486f4af669a5ca05724415bea2b504e342d9fc4f509a911d1b11415"
}
Emotet — Profil du malware
Emotet (Heodo/Mealybug/TA542) 32-bit DLL payload. Process enumeration via CreateToolhelp32Snapshot+Process32First/Next. VirtualAlloc+VirtualProtect shellcode staging. ntdll.dll direct calls. Low entropy 3.92 (stage-1 loader/encoded payload). Suspicious imagebase and DOS stub.
Détails techniques
C dili, HTTP C2 (RSA+AES sifreleme), modular yapi (email stealer, spreader, Outlook harvester), process hollowing, living off the land (regsvr32, mshta, certutil), Epoch1/2/3/4/5 botnet
Attribution / Acteur de la menace
TA542 (MUMMY SPIDER) - Ukrayna kokenli oldugu dusunulen organizasyon. 2021'de Europol/FBI tarafindan coguyla tutuklandi; 2022'de geri dondu.
Capacités et comportement
Liste IOC (2 indicateurs)
# SHA256
755181606486f4af669a5ca05724415bea2b504e342d9fc4f509a911d1b11415
# MD5
35930293a1c9a972122ade3c7fbd78e3
| Type | Valeur | Note |
|---|---|---|
| sha256 | 755181606486f4af669a5ca05724415bea2b504e342d9fc4f509a911d1b11415 | Sample:Emotet |
| md5 | 35930293a1c9a972122ade3c7fbd78e3 | Sample:Emotet |
Serveurs C2 (7 serveurs enregistrés pour cette famille)
| Adresse | Type | Port | Protocole | Statut | Pays |
|---|---|---|---|---|---|
| 41.216.188.11 | ip | 8000 | HTTP | active | — |
| 103.143.173.206 | ip | 443 | HTTPS | inactive | ID |
| 144.91.65.153 | ip | 7080 | HTTP | inactive | DE |
| 195.88.54.144 | ip | 8080 | HTTP | sinkholed | — |
| 103.43.46.149 | ip | 443 | HTTPS | sinkholed | — |
| 185.220.101.32 | ip | 80 | HTTP | sinkholed | DE |
| 5.135.183.154 | ip | 8080 | HTTP | sinkholed | FR |
Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.