QakBot Sample: 6550AF7EF8A538B5

QakBot Malware Analizi

Dosya Ozellikleri

SHA256: 6550af7ef8a538b5ab29488cc92fc781a0b13e5aa640a2379cea7c121e33cb54

MD5: 89c6c01ad2035247914588a197449313

Dosya Tipi: zip

Boyut: 400,649 byte

Ilk Gorulme: 2022-10-18

AV Imzasi: Quakbot

Raporlayan: boi_cyber

Etiketler: pw abc333, Qakbot, Quakbot, zip

Statik analiz: metadata tabanli (ornek indirilmedi)

QakBot — Профиль вредоносного ПО

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

Тип вредоносного ПО

Other

Язык программирования

C++

C2 Протокол

HTTPS

Целевые системы

Windows

Другие названия (AKA)

QBot

Технические детали

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

Атрибуция / Актор угрозы

Gold Lagoon, TA570 (Shatak)

Возможности и поведение

Zararlı Yazılım Aktivitesi

Kalıcılık Mekanizması

C2 İletişimi

Anti-Analiz

Список IOC (1 индикаторов)

IOC — QakBot

# FILEPATH
6550af7ef8a538b5ab29488cc92fc781a0b13e5aa640a2379cea7c121e33cb54

Тип	Значение	Примечание
filepath	6550af7ef8a538b5ab29488cc92fc781a0b13e5aa640a2379cea7c121e33cb54	PDB

QakBot — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес	Тип	Порт	Протокол	Статус	Страна
95.217.35.154	ip	443	HTTPS	inactive	FI
upd5.pro	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
metasta.me	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
amacey.com	domain	443	HTTPS	inactive	—
181.174.165.208	ip	443	HTTPS	sinkholed	AR
212.117.180.232	ip	443	HTTPS	sinkholed	CH

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги

pw abc333QakbotQuakbotzip