Phemedrone -- WDSecureUtilities.exe Windows Defender Taklidi, NT Anti-Debug | Yüksek

Manuel Statik Analiz — Phemedrone Stealer | Tehdit: YUKSEK

Fichier Kimliği

SHA256	`0cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Nom du fichier	WDSecureUtilities(1).exe
Taille	239.616 byte (.NET)
String Sayisi	1.444

Windows Defender Taklit

WDSecureUtilities(1).exe
-- "WD" = Windows Defender kısaltması
-- "SecureUtilities" = güvenlik aracı görünümü
-- "(1)" = indirilen kopya numarası (yaygın dosya ismi)
-- Kullanıcı Windows Defender aracı sanıp çalıştırıyor

NT API Anti-Debug

NtQuerySystemInformation  -- Sistem bilgisi sorgusu (debugger tespiti)
NtQueryObject             -- Nesne bilgisi (breakpoint tespiti)
get_encrypted             -- Şifreli string çözme metodu
#GUID                     -- .NET assembly GUID (C# kaynağı)

IOC

SHA256	`0cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Kamuflaj	WDSecureUtilities.exe (Windows Defender gizleme)

Phemedrone — Profil du malware

Phemedrone Stealer C# .NET. KeePass Key3Database + ParseColdWallets crypto cold wallets. Fake WD Secure Utilities.

Type de malware

Infostealer

Langage de programmation

Protocole C2

HTTP

Systèmes ciblés

Windows

Détails techniques

.NET, HTTPS C2 (Telegram bot da kullanilmis), browser stealer, kripto wallet scraper, Telegram/Discord/Steam stealer, clipboard monitor, screenshot, anti-sandbox

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — Phemedrone

# SHA256
0cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2

Type	Valeur	Note
sha256	0cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2	len=62

Phemedrone — Voir le profil complet →

Serveurs C2 (1 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
89.208.31.197	ip	443	HTTPS	inactive	NL

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.