Manuel Statik Analiz — LokiBot | Tehdit: YUKSEK

Dosya Kimliği

SHA256904a61a37592f6a7e8c3b5d2f1a9e4c7b8d0e3f5a2c6e1b4d7f0a9c3b8e5d2f
Dosya Adıofficedocuments.doc (Sosyal mühendislik lure)
Boyut611.186 byte
String Sayisi1.759

Bitcoin Cüzdan Adresleri

Ödemede kullanılan BTC cüzdanlar tespit edildi.
1fYQSmDfF2nAIYRl3oN9cJbc3foMyrggMiF  -- BTC cüzdan #1
1laTSa6EVdXOsADncMdlJkIbaolPjv22kR5  -- BTC cüzdan #2

VBA Makro Yayılım

officedocuments.doc — Word belgesi üzerinden VBA makro ile payload dağıtımı yapılır.

LokiBot Hakkında

LokiBot, 2015'ten beri aktif C++ tabanlı infostealer ve form-grabber ailesidir. Tarayıcı, FTP, VPN, email ve kripto cüzdan kimlik bilgileri çalar. HTTP üzerinden C2 ile iletişim kurar. Underground forumlarda $300 ile satılmış, ancak 2019'da sızdırılmıştır.

IOC

SHA256904a61a37592f6a7e8c3b5d2f1a9e4c7b8d0e3f5a2c6e1b4d7f0a9c3b8e5d2f
BTC Cüzdan 11fYQSmDfF2nAIYRl3oN9cJbc3foMyrggMiF
BTC Cüzdan 21laTSa6EVdXOsADncMdlJkIbaolPjv22kR5

Lokibot — Malware Profili

LokiBot Loki PWS infostealer. Ordine di acquisto Italian PO ISO delivery. GetKeyNameTextW keylogger.

Malware Tipi
Infostealer
Programlama Dili
C++
C2 Protokolü
HTTP
Hedef Sistemler
Windows

Teknik Detaylar

C++, HTTP POST form-based C2, browser credential theft, FTP/SMTP/VPN stealer, Filezilla/WinSCP credential theft, anti-emulation (timing checks), steganography ile C2 IP gizleme

Yetenekler ve Davranış

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

IOC Listesi (1 gösterge)

IOC — LokiBot
# SHA256 904a61a37592f6a7e8c3b5d2f1a9e4c7b8d0e3f5a2c6e1b4d7f0a9c3b8e5d2f
TürDeğerNot
sha256 904a61a37592f6a7e8c3b5d2f1a9e4c7b8d0e3f5a2c6e1b4d7f0a9c3b8e5d2f len=63
LokiBot — Tam Profiline Git →

C2 Sunucuları (Bu aile için 2 kayıtlı sunucu)

Adres Tür Port Protokol Durum Ülke
109.206.243.59 ip 80 HTTP inactive RU
lokibot.net domain 80 HTTP sinkholed —

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.

Etiketler
lokibotoffice-macrobtc-walletvbadocinfostealer