Manuel Statik Analiz — CyberStealer | Tehdit: YUKSEK
Dosya Kimliği
| SHA256 | 673243eb584ea8ba1420288b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Dosya Adı | ChromeB_test.exe |
| Boyut | 1.420.288 byte (1.4MB) |
| String Sayisi | 6.371 |
Geliştirici Test Binary Sızıntısı
Kritik Bulgu: "_test" suffix → Test aşamasındaki developer binary MalwareBazaar'a karıştı!
ChromeB_test.exe -- "ChromeB" = Chrome Browser hedefli stealer araç adı -- "_test" = geliştirici test binary suffix! -- Test binary'nin production dışı sızmış olması: → Geliştiricinin test sistemini taramış bir mağdur var → Veya geliştirici test aşamasında MalwareBazaar'a gönderdi -- Araç adı "ChromeB" iç kullanımda açıkça Chrome Stealer olduğunu gösteriyor
C2 ve Panel İletişimi
https://iloveboats9.vip -- "iloveboats" + rakam + .vip = dikkat çekici C2 domain -- Anlamsız görünen domain → DGA veya saldırgan tercihi -- Panel debug mesajı: [ChromeB] Screenshot data sent to panel! -- "hwid": + "encrypted_k" = HWID + şifreli anahtar JSON payload
Hedef Veriler
Chrome Browser History -- tarayıcı geçmişi "hwid":"" -- Donanım ID (kurban tanımlama) "encrypted_k" -- Encrypted cookie/token key [ChromeB] Screenshot data sent to panel! -- ekran görüntüsü -- SQLite indirme: sqlite.org/2024/sqlite-tools-win-x64-3460000.zip (Chrome Login Data veritabanını parse etmek için!)
IOC
| SHA256 | 673243eb584ea8ba1420288b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 | iloveboats9.vip |
| Lure | ChromeB_test.exe (developer test binary) |
CyberStealer — Malware Profili
CyberStealer ChromeB_test.exe Chrome browser stealer. iloveboats9.vip C2. HWID+ekran+Chrome History+encrypted keys.
Malware Tipi
Infostealer
Programlama Dili
C#/.NET
C2 Protokolü
HTTPS
Hedef Sistemler
Küresel
Yetenekler ve Davranış
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC Listesi (1 gösterge)
IOC — CyberStealer
# DOMAIN
sqlite.org
| Tür | Değer | Not |
|---|---|---|
| domain | sqlite.org |
C2 Sunucuları (Bu aile için 1 kayıtlı sunucu)
| Adres | Tür | Port | Protokol | Durum | Ülke |
|---|---|---|---|---|---|
| iloveboats9.vip | domain | 443 | HTTPS | inactive | — |
C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.