QakBot Анализ вредоносного ПО

Свойства файла

SHA256: cc5fa220f92319e0e063e4e19c5e09b17e2e459ee33a0b763417080b1c4ecfed

MD5: 925a5b778be05608e27cb24868821ac3

Тип файла: ps1

Размер: 156 byte

Первое обнаружение: 2024-01-26

Сигнатура AV: Quakbot

Кто сообщил: pr0xylife

Метки: ps1, Qakbot, Quakbot, SOFTWARE MEDICAL DEVICES LIMITED

Статический анализ: на основе метаданных (образец не загружался)

QakBot — Профиль вредоносного ПО

QakBot Quakbot banker. Notesvb.msi delivery. Named pipe IPC. Modular architecture.

Тип вредоносного ПО
Other
Язык программирования
C++
C2 Протокол
HTTPS
Целевые системы
Windows
Другие названия (AKA)
QBot

Технические детали

QakBot (Qbot/QuakBot) is a banking trojan and loader active since 2007. Features: credential theft, email hijacking for thread hijacking attacks, lateral movement via SMB/psexec, web injection for banking fraud. Delivered via malspam using hijacked email threads (reply-chain attacks). Modules: email collector, credential grabber, network scanner, VNC plugin. Used to deliver Egregor, ProLock, REvil, Black Basta ransomware. FBI "Operation Duck Hunt" disrupted infrastructure August 2023, removing QakBot from 700,000+ infected machines. Attempted comeback Q4 2023 with new delivery methods.

Атрибуция / Актор угрозы

Gold Lagoon, TA570 (Shatak)

Возможности и поведение

Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz

Список IOC (1 индикаторов)

IOC — QakBot
# FILEPATH cc5fa220f92319e0e063e4e19c5e09b17e2e459ee33a0b763417080b1c4ecfed
ТипЗначениеПримечание
filepath cc5fa220f92319e0e063e4e19c5e09b17e2e459ee33a0b763417080b1c4ecfed PDB
QakBot — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
95.217.35.154 ip 443 HTTPS inactive FI
upd5.pro domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
metasta.me domain 443 HTTPS inactive —
upd5.pro domain 443 HTTPS inactive —
amacey.com domain 443 HTTPS inactive —
181.174.165.208 ip 443 HTTPS sinkholed AR
212.117.180.232 ip 443 HTTPS sinkholed CH

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
ps1QakbotQuakbotSOFTWARE MEDICAL DEVICES LIMITED