Emotet — SecuriteInfo.com.Variant.Bulz.164478.233 [aa234ac5]

Hash / Info	Wert
SHA256	aa234ac55a093e0d180c69b38df96f963a4c04c61993b30278cf3d2df19f6d18
MD5	bcd129c155913f312e118fb5e7ffbfb7
SHA1	791a17089dce418ff8fc6ad0d8e7179694550824
ImpHash	d87eff2dd6ed62c253fa2054c87e2cf5
Datei Adi	SecuriteInfo.com.Variant.Bulz.164478.2339.9664
Dateityp	exe
Größe	1,638,400 bytes
Erstsichtung	2023-12-22

Tehdit Wertlendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

Erkannte Fähigkeiten

Payload Indirme
Surec Enjeksiyonu
Kalicilik
Anti-Analiz
Sifrelenmis Iletisim

MalwareBazaar-Tags

EmotetexeHeodo

Analysehinweis

Bu ornek Emotet ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

Emotet — Malware-Profil

Emotet (Heodo/Mealybug/TA542) 32-bit DLL payload. Process enumeration via CreateToolhelp32Snapshot+Process32First/Next. VirtualAlloc+VirtualProtect shellcode staging. ntdll.dll direct calls. Low entropy 3.92 (stage-1 loader/encoded payload). Suspicious imagebase and DOS stub.

Malware-Typ

Loader

Programmiersprache

C2-Protokoll

HTTP

Zielsysteme

Windows

Auch bekannt als (AKA)

Heodo

Technische Details

C dili, HTTP C2 (RSA+AES sifreleme), modular yapi (email stealer, spreader, Outlook harvester), process hollowing, living off the land (regsvr32, mshta, certutil), Epoch1/2/3/4/5 botnet

Attribution / Bedrohungsakteur

TA542 (MUMMY SPIDER) - Ukrayna kokenli oldugu dusunulen organizasyon. 2021'de Europol/FBI tarafindan coguyla tutuklandi; 2022'de geri dondu.

Fähigkeiten & Verhalten

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

IOC-Liste (2 Indikatoren)

IOC — Emotet

# SHA256
aa234ac55a093e0d180c69b38df96f963a4c04c61993b30278cf3d2df19f6d18

# MD5
bcd129c155913f312e118fb5e7ffbfb7

Typ	Wert	Bemerkung
sha256	aa234ac55a093e0d180c69b38df96f963a4c04c61993b30278cf3d2df19f6d18
md5	bcd129c155913f312e118fb5e7ffbfb7

Emotet — Zum vollständigen Profil →

C2-Server (7 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
41.216.188.11	ip	8000	HTTP	active	—
103.143.173.206	ip	443	HTTPS	inactive	ID
144.91.65.153	ip	7080	HTTP	inactive	DE
195.88.54.144	ip	8080	HTTP	sinkholed	—
103.43.46.149	ip	443	HTTPS	sinkholed	—
185.220.101.32	ip	80	HTTP	sinkholed	DE
5.135.183.154	ip	8080	HTTP	sinkholed	FR

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.