Manuel Statik Analiz — CryptBot Stealer | Tehdit: YUKSEK
Dosya Kimliği
| SHA256 | a5f54b2b09467a646039328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Dosya Adı | shark2.bin ("shark" — agresif stealer vurgu) |
| Boyut | 6.039.328 byte (6MB — büyük Delphi binary) |
| String Sayisi | 29.161 |
C2 Domain
x8D8.io -- .io (Britanya Hint Okyanusu TLD) C2 -- "x" + büyük "8D8" = karışık büyük/küçük harf -- .io: global developer tercih TLD, az engellenir
Delphi Ekran Yakalama Bileşenleri
poScreenCenter -- Delphi TPopupMenu ekran merkezi sabitleme ScreenSnap -- Delphi ekran yakalama kontrolü TScreen -- Delphi global Screen nesnesi -- CryptBot Delphi ile geliştirilmiş (nadir stealer özelliği)
IOC
| SHA256 | a5f54b2b09467a646039328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 | x8D8.io (.io TLD) |
CryptBot2 — Malware Profili
CryptBot Delphi stealer shark2.bin x8D8.io C2. Browser password crypto wallet. MSH_WHEELSUPPORT Delphi RAD Studio.
Malware Tipi
Infostealer
Programlama Dili
Delphi
C2 Protokolü
HTTP
Hedef Sistemler
Kuresel
Yetenekler ve Davranış
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC Listesi (1 gösterge)
IOC — CryptBot2
# DOMAIN
x8d8.io
| Tür | Değer | Not |
|---|---|---|
| domain | x8d8.io |
C2 Sunucuları (Bu aile için 1 kayıtlı sunucu)
| Adres | Tür | Port | Protokol | Durum | Ülke |
|---|---|---|---|---|---|
| x8D8.io | domain | 443 | HTTPS | inactive | — |
C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.