Manuel Statik Analiz — Phemedrone Stealer | Tehdit: YUKSEK

Файл Kimliği

SHA2560cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
Имя файлаWDSecureUtilities(1).exe
Размер239.616 byte (.NET)
String Sayisi1.444

Windows Defender Taklit

WDSecureUtilities(1).exe
-- "WD" = Windows Defender kısaltması
-- "SecureUtilities" = güvenlik aracı görünümü
-- "(1)" = indirilen kopya numarası (yaygın dosya ismi)
-- Kullanıcı Windows Defender aracı sanıp çalıştırıyor

NT API Anti-Debug

NtQuerySystemInformation  -- Sistem bilgisi sorgusu (debugger tespiti)
NtQueryObject             -- Nesne bilgisi (breakpoint tespiti)
get_encrypted             -- Şifreli string çözme metodu
#GUID                     -- .NET assembly GUID (C# kaynağı)

IOC

SHA2560cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
KamuflajWDSecureUtilities.exe (Windows Defender gizleme)

Phemedrone — Профиль вредоносного ПО

Phemedrone Stealer C# .NET. KeePass Key3Database + ParseColdWallets crypto cold wallets. Fake WD Secure Utilities.

Тип вредоносного ПО
Infostealer
Язык программирования
C#
C2 Протокол
HTTP
Целевые системы
Windows

Технические детали

.NET, HTTPS C2 (Telegram bot da kullanilmis), browser stealer, kripto wallet scraper, Telegram/Discord/Steam stealer, clipboard monitor, screenshot, anti-sandbox

Возможности и поведение

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Список IOC (1 индикаторов)

IOC — Phemedrone
# SHA256 0cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
ТипЗначениеПримечание
sha256 0cb3d1764153b9a3239616b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 len=62
Phemedrone — Полный профиль →

C2 Серверы (1 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
89.208.31.197 ip 443 HTTPS inactive NL

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
phemedronewdsecureutilities-exewindows-defender-disguisentquerysysteminformationnt-api-anti-debugnet-stealer