AZORult — HSBC_PAYMENT.exe [938b42f0]

Tehdit Degerlendirmesi

Bu ornek, etkilenen sistemlerdeki hassas kimlik bilgilerini ve kisisel verileri toplayan bir bilgi hırsızı (infostealer) olarak siniflandirilmistir. Tarayici kayitli parolalar, cerezler, kripto para cüzdani verileri ve oturum tokenlari birincil hedefleridir.

Tespit Edilen Yetenekler

• Tarayici Kimlik Bilgileri
• Cerez Hirsizligi
• Kripto Cüzdan
• 2FA Kodu
• Sistem Bilgisi

MalwareBazaar Etiketleri

Analiz Notu

Bu ornek AZORult ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

AZORult — Malware Profili

AZORult, 2016 dan beri aktif Rus yapimi C++ infostealer ailesidir. Tarayici sifreleri, email, FTP, kripto cuzdan. 2019 sızdırılmıstır.

Malware Tipi

Infostealer

Programlama Dili

Delphi

C2 Protokolü

HTTP

Hedef Sistemler

Windows

Teknik Detaylar

C++, HTTP POST C2, browser credential theft (Chromium/Firefox), cookie theft, cryptocurrency wallet stealer, Steam session stealer, screenshot, clipboard monitor, downloader capability

Yetenekler ve Davranış

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOC Listesi (2 gösterge)

IOC — AZORult Kopyala

# SHA256 938b42f084ea40da98cbb0d6cab7f424f1c7e9d6580f67634995a01facb4d98b # MD5 4f7f20d7e243b1dd4f3ce28e7367f76f

Tür	Değer	Not
sha256	938b42f084ea40da98cbb0d6cab7f424f1c7e9d6580f67634995a01facb4d98b
md5	4f7f20d7e243b1dd4f3ce28e7367f76f

C2 Sunucuları (Bu aile için 4 kayıtlı sunucu)

Adres	Tür	Port	Protokol	Durum	Ülke
ip-api.com	domain	80	HTTP	active	—
azorult-panel.ru	domain	80	HTTP	inactive	RU
176.109.116.153	ip	80	HTTP	inactive	UA
dotbit.me	domain	443	HTTPS	inactive	—

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.