Manuel Statik Analiz (LLM Okumali) — Eternity Stealer (AZORult Klon) | Tehdit: YUKSEK
Fichier Kimligi
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Tag | Eternity (MalwareBazaar) |
AZORult ile Iliski
Binary string analizi sonucunda bu ornek AZORult stealer ile ayni C2 altyapisini ve string setini paylastigini gostermektedir. Eternity Stealer, AZORult kodunun rebrand veya repack edilmis bir varyantidir.
Her iki ornekte de ozdes stringler bulunmaktadir:
https://dotbit.me/a/— Blockchain DNS C2 cozucusuhttp://ip-api.com/json— Dis IP tespiti%APPDATA%\Telegram Desktop\tdata\— Telegram token calma
Bilinen Yetenekler (AZORult ile ortak)
- Steam kimlik bilgileri (Config/*.vdf)
- Telegram Desktop oturum datasi
- Pidgin IM hesap bilgileri
- Skype kimlik bilgileri
- Blockchain DNS ile C2 takip direnci
IOC
| SHA256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
|---|---|
| Blockchain DNS | dotbit.me |
| IP Lookup | ip-api.com |
| Famille Iliskisi | AZORult klon/repack |
AZORult — Profil du malware
AZORult, 2016 dan beri aktif Rus yapimi C++ infostealer ailesidir. Tarayici sifreleri, email, FTP, kripto cuzdan. 2019 sızdırılmıstır.
Type de malware
Infostealer
Langage de programmation
Delphi
Protocole C2
HTTP
Systèmes ciblés
Windows
Détails techniques
C++, HTTP POST C2, browser credential theft (Chromium/Firefox), cookie theft, cryptocurrency wallet stealer, Steam session stealer, screenshot, clipboard monitor, downloader capability
Capacités et comportement
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
Liste IOC (1 indicateurs)
IOC — AZORult
# SHA256
025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3
| Type | Valeur | Note |
|---|---|---|
| sha256 | 025e74a9c3b8af89c8c4b4d9e45b90f2a0a3b7c8d1e2f4a5b6c7d8e9f0a1b2c3 |
Serveurs C2 (4 serveurs enregistrés pour cette famille)
| Adresse | Type | Port | Protocole | Statut | Pays |
|---|---|---|---|---|---|
| ip-api.com | domain | 80 | HTTP | active | — |
| azorult-panel.ru | domain | 80 | HTTP | inactive | RU |
| 176.109.116.153 | ip | 80 | HTTP | inactive | UA |
| dotbit.me | domain | 443 | HTTPS | inactive | — |
Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.