IcedID | Niveau de menace: critical | Type: Loader

Identifiants cryptographiques

SHA256e77f23c3753a893058ea05f9cfc3e250c19129b6d5f2ee4c3687b58f52053a42
MD5341a8c92b358a0b0ef002541ec775441
Type de fichierexe
Taille313.0 KB
Première observation2023-09-13
Nom du fichier341a8c92b358a0b0ef002541ec775441
Étiquettes64, exe, IcedID

Famille de malware: IcedID

IcedID, loader/trojan'dır.

TypeLoader
Langage de programmationC++
Plateforme cibleWindows
Protocole C2HTTPS
ObjectifBankacılık sahtekarlığı
Année de première observation2017
Autres nomsBokBot

Indicateurs de menace (IOC)

  • SHA256: e77f23c3753a893058ea05f9cfc3e250c19129b6d5f2ee4c3687b58f52053a42
  • MD5: 341a8c92b358a0b0ef002541ec775441

Vous pouvez vérifier toutes les valeurs de hachage de cet échantillon sur VirusTotal.

Guide de nettoyage du système

  1. Déconnectez le système du réseau — le loader télécharge peut-être d’autres logiciels malveillants
  2. Analysez toutes les charges utiles téléchargées
  3. Inspectez tout le trafic réseau et coupez les connexions suspectes
  4. Effectuez une analyse antivirus complète
  5. Envisagez une réinstallation du système

Indices de règles YARA

rule IcedID_SHA256 {
    meta:
        description = "IcedID sample: e77f23c3753a8930"
        threat_level = "critical"
        first_seen = "2023-09-13"
    condition:
        hash.sha256(0, filesize) == "e77f23c3753a893058ea05f9cfc3e250c19129b6d5f2ee4c3687b58f52053a42"
}

IcedID — Profil du malware

IcedID banking trojan. info_IR MSI invoice lure. ConnectNamedPipe named pipe IPC. IsDebuggerPresent double anti-debug.

Type de malware
Loader
Langage de programmation
C++
Protocole C2
HTTPS
Systèmes ciblés
Windows
Aussi connu sous (AKA)
BokBot

Détails techniques

IcedID (BazarLoader) is a banking trojan and loader first observed 2017. Man-in-the-browser attacks targeting banking credentials via web injections. BazarLoader component: delivers Ryuk, Conti, and other ransomware payloads. Uses HTTPS with TLS for C2, custom binary protocol. Delivered via malspam (Office macros, password-protected archives). Notable for forked distribution: Standard IcedID vs. Lite variant (reduced banking features). Lite/BackConnect IcedID evolved to focus solely on ransomware delivery. C2 uses high entropy DGA-like domains with .com TLD.

Attribution / Acteur de la menace

TA551 (Shathak), TA578

Capacités et comportement

Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı

Liste IOC (2 indicateurs)

IOC — IcedID
# SHA256 e77f23c3753a893058ea05f9cfc3e250c19129b6d5f2ee4c3687b58f52053a42 # MD5 341a8c92b358a0b0ef002541ec775441
TypeValeurNote
sha256 e77f23c3753a893058ea05f9cfc3e250c19129b6d5f2ee4c3687b58f52053a42 Sample:IcedID
md5 341a8c92b358a0b0ef002541ec775441 Sample:IcedID

Serveurs C2 (5 serveurs enregistrés pour cette famille)

Adresse Type Port Protocole Statut Pays
162.33.177.167 ip 443 HTTPS active US
topfiveaccounting.com domain 443 HTTPS inactive US
185.220.100.240 ip 443 HTTPS inactive DE
nsabx.gg domain 443 HTTPS inactive —
5.8.88.226 ip 443 HTTPS sinkholed RU

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.

Tags
icedidloadermalwarecriticalsha256hash-analizi