DBatLoader -- PaymentXAdvice.zip Ödeme Bildirimi ZIP, portuguese-brazilian Brezilya Portekizce Hedefleme, IsDebuggerPresent Anti-Debug | Orta

Manuel Statik Analiz — DBatLoader | Tehdit: MITTEL

Datei Kimliği

SHA256	`48f17ccf4dc1488c1705345b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Dateiname	PaymentXAdvice.zip (ödeme bildirimi!)
Größe	1.705.345 byte (1.63MB)
String Sayisi	3.439

PaymentXAdvice: Ödeme Bildirimi ZIP Lürü

PaymentXAdvice.zip
-- "Payment" = ödeme
-- "X" = ayraç (sıra dışı separator)
-- "Advice" = bildirim (bank "Payment Advice" = ödeme talimatı/bildirimi)
-- "Payment Advice" = muhasebe/bankacılık belgesi
  - Finans departmanları ödeme bildirimleri beklediğinden açar
  - ZIP: e-posta eklerinde geçen filtrelerden geçer
-- "X" araya ekleme: "PaymentAdvice" → "PaymentXAdvice" (URL/spam filter bypass)

portuguese-brazilian: Brezilya Portekizce Lokalizasyon

HEDEF: Latin Amerika — Brezilya iş dünyası!

portuguese-brazilian
-- pt-BR locale string: Brezilya Portekizcesi yerelleştirme!
-- DBatLoader: Brezilya kurumsal sektörünü hedef alıyor
-- Brezilya: Latin Amerika'da büyük finans/bankacılık ekosistemi
-- Dil kaydı: insan kaynakları/muhasebe sistemlerini yerelleştirme
-- Kampanya: Brezilya şirketlerine "Ödeme Bildirimi" gönderiliyor
-- DBatLoader ayrıca: Avrupa ve Orta Doğu'yu da hedef alır

IOC

SHA256	`48f17ccf4dc1488c1705345b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Lure	PaymentXAdvice.zip
Locale	portuguese-brazilian (pt-BR)

DBatLoader — Malware-Profil

DBatLoader/ModiLoader. PaymentXAdvice ZIP lure. Brazilian Portuguese targeting. pt-BR locale.

Malware-Typ

Loader

Programmiersprache

Delphi

C2-Protokoll

HTTP

Zielsysteme

Windows

Auch bekannt als (AKA)

ModiLoader

Technische Details

Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri

Fähigkeiten & Verhalten

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

IOC-Liste (1 Indikatoren)

IOC — DBatLoader

# SHA256
48f17ccf4dc1488c1705345b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

Typ	Wert	Bemerkung
sha256	48f17ccf4dc1488c1705345b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

DBatLoader — Zum vollständigen Profil →

C2-Server (3 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
176.32.34.88	ip	80	HTTP	active	UA
194.33.45.78	ip	443	HTTPS	inactive	CZ
85.195.206.19	ip	80	HTTP	inactive	AT

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.