27.7 C
İstanbul
19/06/2024
Image default
HaberlerZararlı Yazılım Analizleri

TA551 (Shathak) IcedID Aktiviteleri

Valak Malware aktiviteleri ile tanınan TA551 (Shathak) grubunun IcedID aktiviteleri yakın zamanda tespit edildi. Microsoft Word dökümanları kullanan zararlı aktiviteler ile IcedID zararlısının bulaştırılması amaçlanmıştır.

Resim 1’de yer alan görsel aktiviteler şema yardımıyla özetlenmiştir.

Resim 1: Aktivite Şeması

Aktiviteler, birçok malware tipinde olduğu gibi “Enable Content” butonu sayesinde ortaya çıkmaktadır. İlgili zararlı Office Macrolarını kullanmaktadır.

Resim 2: Zararlı Word Dosyası Örneği

Enable işleminin ardından zararlı için gerekli olan DLL ile iletişim meydana gelmektedir. İlgili iletişime ait ve trafik detayları Resim 3’teki gibidir. DLL dosyası;

C:\Users\[username]\AppData\Local\Temp\main.theme” şeklinde kaydedilmektedir. Ardından regsvr32.exe /s [dosya adı] olacak şekilde çalıştırılmaktadır. Resim 4’te aktiviteye ilişkin görsel yer almaktadır.

Resim 3: DLL yükleme işlemi
Resim 4: DLL dosyasının indirildiği ortam
Resim 5: IcedID tarafından oluşturulan trafik

Resim 6’da DLL dosyasının oluşturduğu IcedID exe uzantılı dosyasını görmekteyiz.

Resim 6: Installer DLL tarafından oluşturulan IcedID exe dosyası

Aşağıda DLL dosyasınının indirilebildiği adresler, hash ve dosya değerleri ile C2 adresleri yer almaktadır.

DLL Installer adresleri:

  • ed9fb4[.]com
  • ch4ck0j[.]com
  • dywb3va[.]com
  • j9b8q8[.]com
  • osog5n[.]com
  • oyomc2z[.]com
  • pncq6h[.]com
  • pt48tir[.]com
  • scgi76[.]com
  • sv51gh[.]com
  • vebk1x[.]com
  • xk625lf[.]com

IcedID exe dosyası tarafından oluşturulan iletişim trafiğin aşağıdaki adreslere doğru olduğu tespit edilmiştir:

  • 94.100.18[.]58 port 443 – qazyaquanauti[.]co
  • 94.100.18[.]58 port 443 – leaderfreeder[.]co
  • 94.100.18[.]58 port 443 – juveperdhue[.]top

Dosyalara ait SHA-256 Hash değerleri ve dosya adları aşağıdaki gibidir:

  • 74e802b554527a8d3bc212eb0b107a63197daa1987a6f8cdd1c9c8ddae269c86   adjure-08.06.2020.doc
  • b23322f71771729668c866c9e3772eddb428c3c5d68bfba9433da3fe63f0c286   adjure_08.20.doc
  • df144083cb485322e601c9b188c676b989e003f279fa9328b79ec713489968aa   adjure_08.20.doc
  • c6bc5f8db1173945fca0b270656b059c69559a939480561296776938be03730c   charge,08.20.doc
  • 0c57c1af0d46a31bb43a4881026c6f392ac53faac9780f6924dff91aed07d28d   command.08.20.doc
  • 65ae12426a34a5802ca0c627aa4749206e2a75b57d9f938c69112af9be55be1a   command_08.06.2020.doc
  • 48576d904ca6a41f7be143e6aa30a01e9577dde2f744ebe2a43579c05550cc4e   decree 08.06.2020.doc
  • 6e92b206fb95f1e58e078571fe46c8d36632bf9f265af2cea59c8f1c5e4fab7f   decree,08.20.doc
  • 9ea63df909a4947f18ae4e5d35cfea604905a275167de3d5418bc4917a27e281   dictate.08.20.doc
  • 6c371a63e61f8ee4e379d862bb96403eb10864463a517d6c6c423cb3ea296ce8   documents,08.06.2020.doc
  • 0642b8b82c8b1949da4dc684b6f75a180e942673ac9428383a39c3a9ef10e1ca   enjoin-08.06.20.doc
  • dfd2333edc0622b49a01367a1fa60a85d64456e6f53350010a11d2f175e90b0b   enjoin.08.06.2020.doc
  • f6d12ccf893cb4c51b3c049bb07c7e51f3c0f73f55379310459bdd89c5421edf   figures_08.20.doc
  • e64f5c95f57e265b882d1f3d8b17455ffac350ff7c4ee22bb9187a7e10ec66b4   file,08.20.doc
  • addd6c62f38bd5b004abed3cf7edfece4d002ca56a35539f2657754be291bbea   files.08.06.2020.doc
  • affd7dd7f9bd8ec763c8646123f414bd25e68352d742a5bd3904ffa42580cf9f   instruct-08.20.doc
  • b453fe2b22df0a3447c9f1e64d5e2c9d2c0ef6e1d6e47aaaca3b611e868c00d3   instrument indenture-08.06.2020.doc
  • 6d8dd12ffb7ee93a6cd9f1051e17a1087d66f070cc534454fb04d9d8c33bb90c   intelligence,08.06.2020.doc
  • 3fe92d49ce855b4f02a99ba5c4a89edd2255603a4e0b5d9f3cc8767dd0809066   legal agreement 08.20.doc
  • 6badbba16b4cad10bfbb2cc245f4d63c7781aa9678417df84078273a12d3eaa1   legal paper.08.06.20.doc
  • c187247c655ab22dc5e67fe174af4fca1e14cff224dc5b60beff948a8a297dd2   official paper_08.06.2020.doc
  • 24368bddac344e5579e583cf86053d53894542c18f67a718400f62ff56d5a674   report 08.20.doc
  • acd6793d8210f51004f617765bdd882544d389c5191f35470c7f2a2aa6e3a337   require,08.20.doc
  • a3ba4baa49060dd73324c9d6f63a67f23a13b466fae33f85ad7493d58c5f8e6a   rule,08.06.2020.doc
  • e48c527a596751834d830a7c663f8e6e14e7b9d8ee9edbc41d344f4bf1ecbd9c   specifics,08.20.doc
  • a611374f8b55cee7c3a6cf6f05bf074c66cbc234e6f4f07f18762eace713cf88   statistics_08.20.doc

Related posts

Türk Bankacılık Sektörünü hedef alan ThiefBot!

Serdar H.

Telecom Argentina’dan fidye talep edildi!

Serdar H.

ThiefBot Banking Trojan Zararlı Yazılım Analizi

Yeşim Alan

Bu web sitesi, kullanıcı deneyimini iyileştirmek amacıyla çerezler kullanmaktadır. Kabul Et Daha Fazlası