Statik Analiz — BluStealer | YÜKSEK | CVSS: 7.5

Dosya

SHA2563f6604df64307223a9a72e68f28c14d3cbf5af90549667839622b8e3490fbe8b
MD56bbfbd022b3599e8e6d8876c4566073b
Dosya3f6604df64307223a9a72e68f28c14d3cbf5af90549667839622b8e3490fbe8b.exe
Boyut180,296 byte
TürPE32+ executable for MS Windows 4.00 (GUI), x86-64 Mono/.Net assembly, 2 sections
Stringler771

Bölümler

AdEntropi
.text7.86
.rsrc4.12

IOC

SHA2563f6604df64307223a9a72e68f28c14d3cbf5af90549667839622b8e3490fbe8b
MD56bbfbd022b3599e8e6d8876c4566073b
IP4.0.0.0, 11.0.0.0, 1.0.0.0
Domainsymcb.com, digicert.com, system.io, symantec.com
C2symcb.com, digicert.com, system.io, symantec.com

BluStealer — Malware Profili

BluStealer VB6/VBS stealer 2021. Telegram Bot /sendDocument C2. TSC developer. Tarayici+email+kripto.

Malware Tipi
Infostealer
Programlama Dili
VB6/VBScript
C2 Protokolü
Telegram Bot API
Hedef Sistemler
Küresel

Yetenekler ve Davranış

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

IOC Listesi (7 gösterge)

IOC — BluStealer
# IP 4.0.0.0 # IP 11.0.0.0 # IP 1.0.0.0 # DOMAIN symcb.com # DOMAIN digicert.com # DOMAIN system.io # DOMAIN symantec.com
TürDeğerNot
ip 4.0.0.0 C2 aday
ip 11.0.0.0 C2 aday
ip 1.0.0.0 C2 aday
domain symcb.com C2 domain
domain digicert.com C2 domain
domain system.io C2 domain
domain symantec.com C2 domain
BluStealer — Tam Profiline Git →

C2 Sunucuları (Bu aile için 8 kayıtlı sunucu)

Adres Tür Port Protokol Durum Ülke
digicert.com domain — TCP active —
sectigo.com domain — TCP active —
microsoft.com domain — TCP active —
xanasoft.com domain — TCP active —
sandboxie-plus.com domain — TCP active —
github.com domain — TCP active —
digicert.com domain — TCP active —
digicert.com domain — TCP active —

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.

Etiketler
BluStealermalwarestatik-analizIOC