Phemedrone -- WDSecureUtilities.exe 239KB, ParseDiscordTokens, NtQuerySystemInfo, CookiesTags | Yüksek

Manuel Statik Analiz — Phemedrone Stealer | Tehdit: YUKSEK

Fichier Kimliği

SHA256	`0cb3d1764153b9a3e5b2c8a4f7d1e6b3c0f9a2d5e8b1c4f7a0d3e6b9c2f5a8d1`
Nom du fichier	WDSecureUtilities(1).exe
Taille	239.616 byte
String Sayisi	1.444

Windows Defender Kamuflajı

Kamuflaj: "WDSecureUtilities" = Windows Defender güvenlik yardımcı programı taklidi!

Discord Token Çalma

<ParseDiscordTokens>b__6_0  -- Discord token ayrıştırma lambdası #1
<ParseDiscordTokens>b__6_1  -- Discord token ayrıştırma lambdası #2
<CookiesTags>b__0           -- Tarayıcı cookie çalma lambdası
-- .NET LINQ lambda metodları ile token/cookie hırsızlığı

Kernel Anti-Sandbox

NtQuerySystemInformation  -- Kernel seviyesinde sistem bilgisi (sandbox tespiti)
NtQueryObject             -- Nesne bilgisi sorgusu (debugger handle tespiti)

Phemedrone Hakkında

Phemedrone, 2024'ten beri aktif C# tabanlı infostealer ailesidir. Windows SmartScreen/Defender bypass açığından (CVE-2023-36025) yararlanmıştır. Discord token, tarayıcı cookie/şifre, kripto cüzdan ve Steam oturumu çalar. Telegram bot C2 kullanır. GitHub üzerinden açık kaynak olarak yayınlanmıştır.

IOC

SHA256	`0cb3d1764153b9a3e5b2c8a4f7d1e6b3c0f9a2d5e8b1c4f7a0d3e6b9c2f5a8d1`
Kamuflaj	WDSecureUtilities (Windows Defender)
Hedef	Discord token + Browser cookie

Phemedrone — Profil du malware

Phemedrone Stealer C# .NET. KeePass Key3Database + ParseColdWallets crypto cold wallets. Fake WD Secure Utilities.

Type de malware

Infostealer

Langage de programmation

Protocole C2

HTTP

Systèmes ciblés

Windows

Détails techniques

.NET, HTTPS C2 (Telegram bot da kullanilmis), browser stealer, kripto wallet scraper, Telegram/Discord/Steam stealer, clipboard monitor, screenshot, anti-sandbox

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — Phemedrone

# SHA256
0cb3d1764153b9a3e5b2c8a4f7d1e6b3c0f9a2d5e8b1c4f7a0d3e6b9c2f5a8d1

Type	Valeur	Note
sha256	0cb3d1764153b9a3e5b2c8a4f7d1e6b3c0f9a2d5e8b1c4f7a0d3e6b9c2f5a8d1

Phemedrone — Voir le profil complet →

Serveurs C2 (1 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
89.208.31.197	ip	443	HTTPS	inactive	NL

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.