DBatLoader | Bedrohungsstufe: medium | Typ: Loader

Kryptografische Kennungen

SHA256d5a6e410ba8ea13b3229888c07a91746538c47b2c26fefd79b500833fa2da1de
MD585ad954eb055df716df6ec47c8100ce0
Dateityprar
Größe1631.9 KB
Erstsichtung2025-06-10
DateinameDI water system installation project.rar
TagsDBatLoader, HUN, rar

Malware-Familie: DBatLoader

DBatLoader, bulut servisler üzerinden yük indirir.

TypLoader
ProgrammierspracheDelphi
ZielplattformWindows
C2-ProtokollHTTP
ZweckBulut servisi loader
Jahr der Erstsichtung2020
Andere NamenModiLoader

Bedrohungsindikatoren (IOC)

  • SHA256: d5a6e410ba8ea13b3229888c07a91746538c47b2c26fefd79b500833fa2da1de
  • MD5: 85ad954eb055df716df6ec47c8100ce0

Anleitung zur Systembereinigung

  1. Trennen Sie das System vom Netzwerk — der Loader lädt möglicherweise weitere Malware
  2. Analysieren Sie alle heruntergeladenen Payloads
  3. Prüfen Sie den gesamten Netzwerkverkehr und trennen Sie verdächtige Verbindungen
  4. Führen Sie einen vollständigen Virenscan durch
  5. Erwägen Sie eine Neuinstallation des Systems

Hinweise für YARA-Regeln

rule DBatLoader_SHA256 {
    meta:
        description = "DBatLoader sample: d5a6e410ba8ea13b"
        threat_level = "medium"
        first_seen = "2025-06-10"
    condition:
        hash.sha256(0, filesize) == "d5a6e410ba8ea13b3229888c07a91746538c47b2c26fefd79b500833fa2da1de"
}

DBatLoader — Malware-Profil

DBatLoader/ModiLoader. PaymentXAdvice ZIP lure. Brazilian Portuguese targeting. pt-BR locale.

Malware-Typ
Loader
Programmiersprache
Delphi
C2-Protokoll
HTTP
Zielsysteme
Windows
Auch bekannt als (AKA)
ModiLoader

Technische Details

Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri

Fähigkeiten & Verhalten

Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı

IOC-Liste (2 Indikatoren)

IOC — DBatLoader
# SHA256 d5a6e410ba8ea13b3229888c07a91746538c47b2c26fefd79b500833fa2da1de # MD5 85ad954eb055df716df6ec47c8100ce0
TypWertBemerkung
sha256 d5a6e410ba8ea13b3229888c07a91746538c47b2c26fefd79b500833fa2da1de
md5 85ad954eb055df716df6ec47c8100ce0

C2-Server (3 erfasste Server für diese Familie)

Adresse Typ Port Protokoll Status Land
176.32.34.88 ip 80 HTTP active UA
194.33.45.78 ip 443 HTTPS inactive CZ
85.195.206.19 ip 80 HTTP inactive AT

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.

Tags
dbatloaderloadermalwaremediumsha256analizzenginleştirilmiş