Gozi/ISFB -- 36599208287637_182387937827.vbs Çift Sayısal VBS, ZatWDYVMlX Array Obfuskasyon | Orta

Manuel Statik Analiz — Gozi/ISFB | Tehdit: MOYEN

Fichier Kimliği

SHA256	`54663fd1d1312b202097979b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Nom du fichier	36599208287637_182387937827.vbs
Taille	2.097.979 byte (2MB VBScript)
String Sayisi	1 (yoğun VBScript obfuskasyon)

Çift Sayısal VBS Adlandırma

36599208287637_182387937827.vbs
-- İki 14 ve 12 haneli sayı alt çizgi ile ayrılmış
-- Muhtemel anlamlar:
  - Telefon numaraları (0365 992 082 876 37)
  - UNIX timestamp çifti (doğrulama token)
  - Sipariş/belge ID çifti (kurban takibi)
-- 2MB VBScript: büyük obfuskated loader
-- Tek string! = VBScript içeriği yorumlanmıyor (binary değil)

ZatWDYVMlX Array Obfuskasyonu

Obfuskasyon: Sembol dizisi ile VBScript gizleme!

ZatWDYVMlX=array(r5,G2,E1,R9,X,x2,x2,X2,c4,X2,W5,K3,t1,o,l9,s2,T9,T8,I5,a3,p6,X2,R4,m...
-- "ZatWDYVMlX" = rastgele değişken adı
-- "array(r5,G2,E1,R9...)" = her element başka bir obfuskated değişken
-- r5, G2, E1, R9 = harici değişkenlere referans (0-255 arası integer olarak tanımlanmış)
-- Gozi VBS: tüm payload bu değişken şifreli dizi ile temsil ediliyor
-- Çözme: tüm değişkenler tanımlandıktan sonra array → binary → execute
-- 2MB dosya boyutu = çözme kodu + şifreli Gozi loader payload

Gozi/ISFB Hakkında

Gozi (ISFB) 2006'dan beri aktif bankacılık trojanı. Typeevi/varyantları: Ursnif (2013), GozNym (2016), MAN1 (2019). VBScript dropper phase: kurumsal e-posta ile dağıtım, makro veya VBS attachment.

IOC

SHA256	`54663fd1d1312b202097979b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Lure	36599208287637_182387937827.vbs (çift sayısal VBS)

Gozi2 — Profil du malware

Gozi ISFB banking trojan VBScript dropper. ZatWDYVMlX array obfuskasyon. Double numeric VBS filename. 2006dan beri aktif Ursnif GozNym turevi.

Type de malware

Backdoor

Langage de programmation

VBScript

Protocole C2

HTTPS

Systèmes ciblés

Küresel/Bankacılık

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — Gozi2

# SHA256
54663fd1d1312b202097979b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2

Type	Valeur	Note
sha256	54663fd1d1312b202097979b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2	len=63

Gozi2 — Voir le profil complet →