Manuel Statik Analiz — GootLoader | Tehdit: YUKSEK
Файл Kimliği
| SHA256 | 3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c |
|---|---|
| Имя файла | Legal_Case_Management_Guide_2025.zip (SEO zehirleme lürü!) |
| Размер | 87.335.340 byte (83MB — büyük ZIP) |
| String Sayisi | 4.789 |
SEO Zehirleme: Hukuki Belge Lürü
SEO ZEHİRLEME: Arama motoru sıralamalarını manipüle ederek kurban çekme!
Legal_Case_Management_Guide_2025.zip -- "Legal Case Management Guide" = hukuki dava yönetim rehberi -- "2025" = güncel görünüm için yıl eklendi -- SEO Zehirleme: bu isimde arama yapanlar GootLoader'a yönlendirilir -- Google: "legal case management guide PDF free download" araması -- Sahte avukatlık/hukuk sitesi → ZIP indir → içinde .js dosyası -- 83MB boyut: gereksiz dolgu ile güvenlik kontrollerini atlatmak
GootLoader SEO Kampanyası
GootLoader hedef kategorileri: -- Hukuki belgeler (anlaşma, sözleşme şablonları) -- Muhasebe formları (vergi, bordro) -- İnsan kaynakları (iş başvurusu, maaş tablosu) -- Yazılım lisansları (crack arama → tehlikeli!) -- Sektörel raporlar (güvenlik, finans raporları) -- GootKit v3: her hedef için özel SEO kampanyası
IOC
| SHA256 | 3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c |
|---|---|
| Lure | Legal_Case_Management_Guide_2025.zip (SEO zehirleme) |
Gootloader — Профиль вредоносного ПО
GootLoader/GootKit v3 JavaScript loader. SEO zehirleme kampanyasi. Hukuki belge lurü. JScript dropper.
Тип вредоносного ПО
Loader
Язык программирования
JavaScript
C2 Протокол
HTTPS
Целевые системы
Windows
Другие названия (AKA)
GootKit
Технические детали
Varyanta gore C/C#/VBS/PS1, anti-analysis (VM/debugger check), persistence (Registry/Task Scheduler/Startup folder), payload decryption ve injection (shellcode/PE), fileless execution teknikleri
Возможности и поведение
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
Список IOC (1 индикаторов)
IOC — Gootloader
# SHA256
3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c
| Тип | Значение | Примечание |
|---|---|---|
| sha256 | 3009c78448fb115e87335340b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c | len=63 |
C2 Серверы (3 зарегистрированных серверов для этого семейства)
| Адрес | Тип | Порт | Протокол | Статус | Страна |
|---|---|---|---|---|---|
| 23.227.203.68 | ip | 443 | HTTPS | active | US |
| 216.122.229.106 | ip | 443 | HTTPS | inactive | US |
| login.itwrx.com | domain | 443 | HTTPS | inactive | US |
Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.