IcedID Malware Analizi

Dosya Ozellikleri

SHA256: ab928ee66de723f9548408d8d190a2f356f5295e7efcc9382944a28bb33969b3

MD5: f90a0f12bc9d8438a5ecb38d104adfcb

Dosya Tipi: one

Boyut: 340,408 byte

Ilk Gorulme: 2023-03-13

AV Imzasi: IcedID

Raporlayan: madjack_red

Etiketler: IcedID, one

Statik analiz: metadata tabanli (ornek indirilmedi)

IcedID — Malware Profili

IcedID banking trojan. info_IR MSI invoice lure. ConnectNamedPipe named pipe IPC. IsDebuggerPresent double anti-debug.

Malware Tipi
Loader
Programlama Dili
C++
C2 Protokolü
HTTPS
Hedef Sistemler
Windows
Diğer Adlar (AKA)
BokBot

Teknik Detaylar

IcedID (BazarLoader) is a banking trojan and loader first observed 2017. Man-in-the-browser attacks targeting banking credentials via web injections. BazarLoader component: delivers Ryuk, Conti, and other ransomware payloads. Uses HTTPS with TLS for C2, custom binary protocol. Delivered via malspam (Office macros, password-protected archives). Notable for forked distribution: Standard IcedID vs. Lite variant (reduced banking features). Lite/BackConnect IcedID evolved to focus solely on ransomware delivery. C2 uses high entropy DGA-like domains with .com TLD.

Atıf / Tehdit Aktörü

TA551 (Shathak), TA578

Yetenekler ve Davranış

Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı

IOC Listesi (1 gösterge)

IOC — IcedID
# FILEPATH ab928ee66de723f9548408d8d190a2f356f5295e7efcc9382944a28bb33969b3
TürDeğerNot
filepath ab928ee66de723f9548408d8d190a2f356f5295e7efcc9382944a28bb33969b3 PDB

C2 Sunucuları (Bu aile için 5 kayıtlı sunucu)

Adres Tür Port Protokol Durum Ülke
162.33.177.167 ip 443 HTTPS active US
topfiveaccounting.com domain 443 HTTPS inactive US
185.220.100.240 ip 443 HTTPS inactive DE
nsabx.gg domain 443 HTTPS inactive —
5.8.88.226 ip 443 HTTPS sinkholed RU

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.

Etiketler
IcedIDone