Trik Botnet Ginzo.exe: 7 Teknikli Çok Aşamalı Dropper, 185.185.25.175 C2, RTF Makro + PowerShell ENV + bitsadmin

Genel Bakış

Bu örnek, Ginzo.exe adıyla gelen 340KB büyüklüğünde son derece karmaşık bir Trik Botnet çok aşamalı dropper'dır. VBA makro, RTF gömülü nesne, HTA, JavaScript, PowerShell ve bitsadmin LOLBin gibi birbirinden farklı yedi yük dağıtım tekniğini tek bir dosyada barındırarak çoklu C2 altyapısına bağlanmaktadır. İçinde Trik botnet PDB yolu, Chrome şifre çalıcı modülü (PasswordRecoveryChrome.exe) ve Monero madencisi bileşeni bulunmaktadır.

Teknik Analiz

Trik Botnet PDB Kanıtı

\Users\x\Desktop\Home\Code\Trik v[0-9]+.[0-9]+\Release\Trik.pdb

• Trik Botnet: 2018-2020 döneminde aktif olan spam/dropper botnet
• Aynı PDB repository'sinden birden fazla versiyon gömülü
• İspanyolca PDB yolları: e:\proyectos egociadores\sqlnet\obj\debug\sqlnet.pdb ("negociadores"=müzakereciler)
• Geliştirici kullanıcı adı: renzon
• 4asterix\documentsisual studio 2008\projects8novdwnelease8novdwn.pdb - downloader modülü

7 Farklı Yük Dağıtım Tekniği

C2 Altyapısı (8 IP, 20+ URL)

• Ana C2: http://185.185.25.175/ref45.php
• Payload: http://138.204.171.108/BxjL5iKld8.zip
• EXE: http://92.63.197.153/good.exe
• DLL C2 (port 280): http://js.1226bye.xyz:280/v.sctscrobj.dll
• HTA: http://bcaou.cn/a.hta
• Doc: http://droobox.online/luncher.doc
• Logging: http://royaldiscoveryholidays.com/log/
• CSS Steganografi: http://plet.dk/css/css.css
• Pastebin Dead Drop: http://pastebin.com/raw/
• Dynamic DNS: http://kasimovschmuck.hopto.org/, http://office-archives.duckdns.org/

Dahili C2 IP Listesi (8 Adres)

• 138.204.171.108 - payload sunucusu
• 173.208.139.170
• 178.128.115.182
• 18.130.111.206 (AWS)
• 185.185.25.175 - ana C2
• 46.101.202.232 (DigitalOcean)
• 92.63.197.153
• 94.156.189.77

Çalma Yetenekleri

• PasswordRecoveryChrome.exe - Chrome şifre çalıcı
• http://ip-api.com/*wallet*.dat - IP tespiti + wallet.dat arama
• XMR Madenci: stratum+tcp://xmr.pool.minergate.com
• AdjustTokenPrivileges - yetki yükseltme

Email Adres İfşaatı

• pdharmaparrack@protonmail.com - operatör iletişim email
• ttpettigrew8922555@mail.com - alternatif iletişim

Teknik Eigenschaftler

IOC Özeti

• C2 #1: 185.185.25.175/ref45.php
• C2 Payload: 138.204.171.108/BxjL5iKld8.zip
• DLL C2: js.1226bye.xyz:280/v.sctscrobj.dll
• Email: pdharmaparrack@protonmail.com
• SHA256: c73a91a1fdfa8b8ad1c4092fd33e3e84c16b568ae622996891d573bb449eec04