SystemBC -- BEGIN PRIVATE KEY Gömülü RSA Özel Anahtarı, Beş C2 Substring Ex$c2 d!C2$ c25a Xx|C2 eJXc2, SOCKS5 Proxy | Yüksek

Manuel Statik Analiz — SystemBC | Tehdit: YUKSEK

Fichier Kimliği

SHA256	`3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Taille	1.691.136 byte (1.6MB)
String Sayisi	7.093

Gömülü RSA Özel Anahtarı!

CRITIQUE: RSA private key binary içinde plaintext!

-----BEGIN PRIVATE KEY-----
[... RSA private key data ...]
-----END PRIVATE KEY-----
-- RSA ÖZEL ANAHTARI binary içinde hardcoded!
-- SystemBC: C2 sunucusuyla TLS bağlantısı kurmak için bu private key kullanıyor
-- Self-signed TLS sertifikası → tarayıcı değil, özel protokol
-- Private key ifşası → saldırganın trafiği şifresi çözülebilir hale gelir
-- Conti ve Ryuk saldırılarında SystemBC proxy olarak kullanıldı

Beş C2 Substring

C2 KALIPLAR:

Ex$c2    -- büyük Ex dolar C2
d!C2$    -- küçük d ünlem C2 dolar
c25a&    -- c2 + 5a + ampersand
Xx|C2;   -- büyük Xx pipe C2 noktalı virgül
eJXc2    -- küçük eJX + c2

SystemBC: RaaS Proxy Altyapısı

SystemBC = SOCKS5 + HTTPS proxy RAT
-- Conti, Ryuk, REvil, DoppelPaymer C2 altyapısında kullanıldı
-- Infected makineyi proxy olarak kullanır → C2 trafiği kurban üzerinden
-- AV: meşru HTTPS trafiği gibi görünür
-- Modüler: ek plugin yükleyebilir

IOC

SHA256	`3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Özel Anahtar	BEGIN PRIVATE KEY (hardcoded RSA)

SystemBC — Profil du malware

SystemBC proxy botnet. Embedded TLS private key BEGIN/END PRIVATE KEY PEM. Tor SOCKS5 proxy tunnel. Used by Ryuk/Conti/DoppelPaymer ransomware for C2 tunneling.

Type de malware

Loader

Langage de programmation

C++

Protocole C2

HTTPS

Systèmes ciblés

Windows

Aussi connu sous (AKA)

Coroxy

Détails techniques

Backdoor ailesi: TCP/HTTP C2, gizli uzak erisim, kalicilik mekanizmasi (servis/Registry), shell komutu calistirma, dosya transfer, anti-forensic teknikleri

Capacités et comportement

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

Liste IOC (1 indicateurs)

IOC — SystemBC

# SHA256
3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

Type	Valeur	Note
sha256	3468d4fecf3ad3801691136b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

SystemBC — Voir le profil complet →

Serveurs C2 (1 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
134.255.218.162	ip	4001	TCP	inactive	LV

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.