QakBot Sample: 7C513F590105293D

QakBot Malware Analizi

Dosya Ozellikleri

SHA256: 7c513f590105293d53980fa41dd4fa24d02438f482f710fffd396a47438d8700

MD5: 53624b7b2de6d8170fe559b05e233363

Dosya Tipi: zip

Boyut: 310,644 byte

Ilk Gorulme: 2022-10-24

AV Imzasi: Quakbot

Raporlayan: pr0xylife

Etiketler: 1666604608, BB04, pw PG1, Qakbot, Quakbot, zip

Statik analiz: metadata tabanli (ornek indirilmedi)

QakBot — Профиль вредоносного ПО

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

Тип вредоносного ПО

Other

Язык программирования

C++

C2 Протокол

HTTPS

Целевые системы

Windows

Другие названия (AKA)

QBot

Технические детали

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

Атрибуция / Актор угрозы

Gold Lagoon, TA570 (Shatak)

Возможности и поведение

Zararlı Yazılım Aktivitesi

Kalıcılık Mekanizması

C2 İletişimi

Anti-Analiz

Список IOC (1 индикаторов)

IOC — QakBot

# FILEPATH
7c513f590105293d53980fa41dd4fa24d02438f482f710fffd396a47438d8700

Тип	Значение	Примечание
filepath	7c513f590105293d53980fa41dd4fa24d02438f482f710fffd396a47438d8700	PDB

QakBot — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес	Тип	Порт	Протокол	Статус	Страна
95.217.35.154	ip	443	HTTPS	inactive	FI
upd5.pro	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
metasta.me	domain	443	HTTPS	inactive	—
upd5.pro	domain	443	HTTPS	inactive	—
amacey.com	domain	443	HTTPS	inactive	—
181.174.165.208	ip	443	HTTPS	sinkholed	AR
212.117.180.232	ip	443	HTTPS	sinkholed	CH

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги

1666604608BB04pw PG1QakbotQuakbot