QakBot — 666.dat [f64537fa]

Hash / Bilgi	Deger
SHA256	f64537fa50272733689ac4cf409f596915e992f3ddf8e390483bc2c024d674bf
MD5	1c2d60296a02b157be872ac4c1dd0a46
SHA1	4ae6bfaf74077e2e5efcf61a2622cb6e052d7652
ImpHash	1890b5be344385a7c100ca791376276e
Dosya Adi	666.dat
Dosya Türü	dll
Boyut	315,312 bytes
Ilk Görülme	2023-05-26

Tehdit Degerlendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

Tespit Edilen Yetenekler

Payload Indirme
Surec Enjeksiyonu
Kalicilik
Anti-Analiz
Sifrelenmis Iletisim

MalwareBazaar Etiketleri

1685100431BB29dllQakbotQuakbot

Analiz Notu

Bu ornek QakBot ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

QakBot — Malware Profili

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

Malware Tipi

Other

Programlama Dili

C++

C2 Protokolü

HTTPS

Hedef Sistemler

Windows

Diğer Adlar (AKA)

QBot

Teknik Detaylar

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

Atıf / Tehdit Aktörü

Gold Lagoon, TA570 (Shatak)

Yetenekler ve Davranış

Zararlı Yazılım Aktivitesi

Kalıcılık Mekanizması

C2 İletişimi

Anti-Analiz

IOC Listesi (10 gösterge)

IOC — QakBot

# SHA256
f64537fa50272733689ac4cf409f596915e992f3ddf8e390483bc2c024d674bf

# MD5
1c2d60296a02b157be872ac4c1dd0a46

# IP
181.174.165.208 

# IP
212.117.180.232 

# IP
102.182.32.78 

# IP
194.165.16.11 

# IP
91.213.50.20 

# DOMAIN
qbot-c2.ru 

# DOMAIN
quakbot-gate.net 

# MUTEX
qbot-mutex-2025-{a83bc1d}

Tür	Değer	Not
sha256	f64537fa50272733689ac4cf409f596915e992f3ddf8e390483bc2c024d674bf
md5	1c2d60296a02b157be872ac4c1dd0a46
ip	181.174.165.208	C2:443
ip	212.117.180.232	C2:443
ip	102.182.32.78	C2:443
ip	194.165.16.11	C2:80
ip	91.213.50.20	C2:445
domain	qbot-c2.ru	QakBot C2 domain
domain	quakbot-gate.net	QakBot gate endpoint
mutex	qbot-mutex-2025-{a83bc1d}	QakBot yeni varyant GUID mutex

QakBot — Tam Profiline Git →

C2 Sunucuları (Bu aile için 8 kayıtlı sunucu)

Adres	Tür	Port	Protokol	Durum	Ülke
95.217.35.154	ip	443	HTTPS	inactive	FI
upd5.pro	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
metasta.me	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
amacey.com	domain	443	HTTPS	inactive	—
181.174.165.208	ip	443	HTTPS	sinkholed	AR
212.117.180.232	ip	443	HTTPS	sinkholed	CH

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.

Etiketler

1685100431BB29dllQakbotQuakbot