Hancitor - 1005_739324208606.doc [826972be]

Tehdit Wertlendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

Erkannte Fähigkeiten

• Payload Indirme
• Surec Enjeksiyonu
• Kalicilik
• Anti-Analiz
• Sifrelenmis Iletisim

MalwareBazaar-Tags

Analysehinweis

Bu ornek Hancitor ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

Hancitor — Malware-Profil

Hancitor (Chanitor) email dropper. PuTTY SSH disguise. Cobalt Strike/Ficker dropper.

Malware-Typ

Loader

Programmiersprache

C

C2-Protokoll

HTTP

Zielsysteme

Windows

Technische Details

Loader ailesi: HTTP/HTTPS C2, payload sifre cozme ve bellek icerisinde yükleme, anti-sandbox/VM kontrolleri, process injection, persistence mekanizmasi, yükü indirme ve calistirma zinciri

Fähigkeiten & Verhalten

Payload İndirme

Süreç Enjeksiyonu

Modüler Mimari

Kimlik Bilgisi Hırsızlığı

Yanal Hareket

Kalıcılık

Anti-VM/Sandbox

İkincil Payload Dağıtımı

IOC-Liste (2 Indikatoren)

IOC — Hancitor Kopieren

# SHA256 826972be9ee89c7ca3eec2722df35796e662578b0c070e17bf58e4853f256151 # MD5 c7f5482e51ef355a25bf810efdb3ec0a

Typ	Wert	Bemerkung
sha256	826972be9ee89c7ca3eec2722df35796e662578b0c070e17bf58e4853f256151
md5	c7f5482e51ef355a25bf810efdb3ec0a

C2-Server (1 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
5.61.46.161	ip	80	HTTP	sinkholed	UA

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.