Hancitor - 0908_3314584507944.doc [2ca7bbf2]

Tehdit Wertlendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

Erkannte Fähigkeiten

• Payload Indirme
• Surec Enjeksiyonu
• Kalicilik
• Anti-Analiz
• Sifrelenmis Iletisim

MalwareBazaar-Tags

Analysehinweis

Bu ornek Hancitor ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

Hancitor — Malware-Profil

Hancitor (Chanitor) email dropper. PuTTY SSH disguise. Cobalt Strike/Ficker dropper.

Malware-Typ

Loader

Programmiersprache

C

C2-Protokoll

HTTP

Zielsysteme

Windows

Technische Details

Loader ailesi: HTTP/HTTPS C2, payload sifre cozme ve bellek icerisinde yükleme, anti-sandbox/VM kontrolleri, process injection, persistence mekanizmasi, yükü indirme ve calistirma zinciri

Fähigkeiten & Verhalten

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

IOC-Liste (2 Indikatoren)

IOC — Hancitor Kopieren

# SHA256 2ca7bbf206d265509eedc9a64c69385edd8e4b63cea4115bfb7b137765ec9262 # MD5 09a2872294d089c5b78d5bf4baea7ef4

Typ	Wert	Bemerkung
sha256	2ca7bbf206d265509eedc9a64c69385edd8e4b63cea4115bfb7b137765ec9262
md5	09a2872294d089c5b78d5bf4baea7ef4

C2-Server (1 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
5.61.46.161	ip	80	HTTP	sinkholed	UA

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.