QakBot Sample: 5BB4A3CCF4E56617

QakBot Анализ вредоносного ПО

Свойства файла

SHA256: 5bb4a3ccf4e566179ed6534df7f9e55315d79298b291126cf060df2f8ba9dd54

MD5: d62b2ce4c2e5ad6ccaaafbd4ce4abc66

Тип файла: zip

Размер: 560,462 byte

Первое обнаружение: 2022-10-24

Сигнатура AV: Quakbot

Кто сообщил: pr0xylife

Метки: 1666347556, BB04, pw PG1, Qakbot, Quakbot, zip

Статический анализ: на основе метаданных (образец не загружался)

QakBot — Профиль вредоносного ПО

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

Тип вредоносного ПО

Other

Язык программирования

C++

C2 Протокол

HTTPS

Целевые системы

Windows

Другие названия (AKA)

QBot

Технические детали

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

Атрибуция / Актор угрозы

Gold Lagoon, TA570 (Shatak)

Возможности и поведение

Zararlı Yazılım Aktivitesi

Kalıcılık Mekanizması

C2 İletişimi

Anti-Analiz

Список IOC (1 индикаторов)

IOC — QakBot

# FILEPATH
5bb4a3ccf4e566179ed6534df7f9e55315d79298b291126cf060df2f8ba9dd54

Тип	Значение	Примечание
filepath	5bb4a3ccf4e566179ed6534df7f9e55315d79298b291126cf060df2f8ba9dd54	PDB

QakBot — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес	Тип	Порт	Протокол	Статус	Страна
95.217.35.154	ip	443	HTTPS	inactive	FI
upd5.pro	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
metasta.me	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
amacey.com	domain	443	HTTPS	inactive	—
181.174.165.208	ip	443	HTTPS	sinkholed	AR
212.117.180.232	ip	443	HTTPS	sinkholed	CH

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги

1666347556BB04pw PG1QakbotQuakbot