Manuel Statik Analiz (LLM Okumali) — BazarLoader (BazaLoader) | Tehdit: YUKSEK
Datei Kimligi
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| Datei Adi | bz.dll |
| Format | PE DLL (agir paketleme) |
| Größe | 192.512 byte |
| String Sayisi | 322 (CEKIRDEK) |
Paketleme Analizi
322 string, bu boyuttaki bir DLL icin son derece dusuktur. BazarLoader, C2 adresleri de dahil tum konfigurasyonu sifrelenmis sekilde barindirmaktadir. Runtime'da ECC + RC4 kombinasyonu ile sifre cozulmektedir.
BazarLoader Hakkinda
BazarLoader (BazaLoader), TrickBot geliştiricilerince 2020 yilindan itibaren kullanilmaya baslanmistir. Conti ransomware ile yakin iliskilendirilen bir initial access loader'dir. Mesgru gibi gorunen altyapi (blockchain DNS, HTTPS sertifika) kullanarak C2 gizler. Hedefler: Kurumsal aglar (RDP, Active Directory). Cobalt Strike ve Conti ransomware icin backdoor gorevi gorur.
IOC
| SHA256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |
|---|---|
| Format | bz.dll |
| C2 | Sifrelenmis (Blockchain DNS/ECC) |
| Grup | TrickBot / Conti ekibi |
BazarLoader — Malware-Profil
BazarLoader BazaLoader TrickBot group loader. xigcgabbzkswmicmkatl shared Trigona mutex. DGA 20-char campaign IDs.
Malware-Typ
Loader
Programmiersprache
C++
C2-Protokoll
HTTPS
Zielsysteme
Windows
Auch bekannt als (AKA)
BazarBackdoor
Fähigkeiten & Verhalten
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
IOC-Liste (1 Indikatoren)
IOC — BazarLoader
# SHA256
b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d
| Typ | Wert | Bemerkung |
|---|---|---|
| sha256 | b1be5ea484bcd2312fafb7fef39c3ad0a04baecbe0fc3be6a7233377b19fae8d |