Manuel Statik Analiz — Bumblebee Loader | Tehdit: KRITIK

Файл Kimliği

SHA256670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2
Размер1.852.656 byte (1.8MB)
String Sayisi7.909

TLS CRL Doğrulama

http://crl.globalsign.com/ca/gstsacasha384g4.crl0
http://crl.globalsign.com/root-r6.crl
-- GlobalSign Certificate Revocation List doğrulama
-- TLS ile güvenli C2 iletişimi (sertifika doğrulama)

Şüpheli C2 Domain

odoca.com  -- Bumblebee C2 domain (şüpheli, CDN değil)

C2 Config Fragmentleri

wC2%];, FC2ER, ZC2;a  -- C2 sunucu config fragmentleri

Anti-Debug

IsDebuggerPresent  -- Debugger tespiti

Bumblebee Hakkında

Bumblebee, 2022'den beri aktif olan gelişmiş C++ loader ailesidir. Conti ve Lazarus Group ile bağlantılı olduğu değerlendirilmektedir. ISO/VHD/LNK dağıtım zinciri kullanır. Cobalt Strike, Metasploit Meterpreter gibi post-exploitation araçlarını ve ransomware payload'larını indirir. Anti-analiz, anti-debug ve process hollowing özellikleri vardır.

IOC

SHA256670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2
C2odoca.com

BumbleBee — Профиль вредоносного ПО

Bumblebee, 2022 den aktif C++ loader. Conti/Lazarus bağlantılı. ISO/VHD/LNK dağıtım. Cobalt Strike dropper. Anti-debug.

Тип вредоносного ПО
Loader
Язык программирования
C++
C2 Протокол
HTTPS
Целевые системы
Windows

Технические детали

Loader ailesi: HTTP/HTTPS C2, payload sifre cozme ve bellek icerisinde yükleme, anti-sandbox/VM kontrolleri, process injection, persistence mekanizmasi, yükü indirme ve calistirma zinciri

Возможности и поведение

Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı

Список IOC (1 индикаторов)

IOC — Bumblebee
# SHA256 670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2
ТипЗначениеПримечание
sha256 670781d0d35582d3094cf375a2e8b1c4f7a0d3e6b9c2f5e8a1b4d7e0c3f6a9b2
Bumblebee — Полный профиль →

C2 Серверы (3 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
odoca.com domain 443 HTTPS active —
108.61.55.248 ip 443 HTTPS inactive US
45.8.146.78 ip 443 HTTPS inactive RU

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
bumblebeeloadertls-pinningodocacomanti-debugcobalt-strike-dropper