QakBot Анализ вредоносного ПО

Свойства файла

SHA256: 7c513f590105293d53980fa41dd4fa24d02438f482f710fffd396a47438d8700

MD5: 53624b7b2de6d8170fe559b05e233363

Тип файла: zip

Размер: 310,644 byte

Первое обнаружение: 2022-10-24

Сигнатура AV: Quakbot

Кто сообщил: pr0xylife

Метки: 1666604608, BB04, pw PG1, Qakbot, Quakbot, zip

Статический анализ: на основе метаданных (образец не загружался)

QakBot — Профиль вредоносного ПО

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

Тип вредоносного ПО
Other
Язык программирования
C++
C2 Протокол
HTTPS
Целевые системы
Windows
Другие названия (AKA)
QBot

Технические детали

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

Атрибуция / Актор угрозы

Gold Lagoon, TA570 (Shatak)

Возможности и поведение

Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz

Список IOC (1 индикаторов)

IOC — QakBot
# FILEPATH 7c513f590105293d53980fa41dd4fa24d02438f482f710fffd396a47438d8700
ТипЗначениеПримечание
filepath 7c513f590105293d53980fa41dd4fa24d02438f482f710fffd396a47438d8700 PDB
QakBot — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
95.217.35.154 ip 443 HTTPS inactive FI
upd5.pro domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
metasta.me domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
amacey.com domain 443 HTTPS inactive —
181.174.165.208 ip 443 HTTPS sinkholed AR
212.117.180.232 ip 443 HTTPS sinkholed CH

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
1666604608BB04pw PG1QakbotQuakbot