Manuel Statik Analiz — SocGholish | Tehdit: СРЕДНИЙ
Файл Kimliği
| SHA256 | 8f896f3f0b5f3341262b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0ab |
|---|---|
| Размер | 262 byte (mini JavaScript stager!) |
| String Sayisi | 1 (tek string) |
Ele Geçirilmiş Meşru Website: Seattle Mystery Lovers
Watering Hole: Meşru kitapçı sitesi saldırı staging noktası!
https://editions.seattlemysterylovers.com/I8l9JljrHk9H60cUFvxRBFHrRwRLqxNHRq4MU025Dkl -- seattlemysterylovers.com = Seattle Mystery Lovers kitabevi (ABD) -- Meşru e-ticaret sitesi → saldırgan tarafından ele geçirildi -- editions.seattlemysterylovers.com = alt domain (özel koleksiyon) -- /I8l9JljrHk9H60cU... = 44 karakter rastgele token = kurban ID veya payload key -- Watering hole: site ziyaretçileri otomatik enfekte edilir -- 262 byte = JS stager → büyük payload seattlemysterylovers.com'dan alır
SocGholish Tekniği
SocGholish modus operandi: 1. Meşru CMS siteleri (WordPress, Joomla) ele geçirilir 2. Küçük JS stager sitedeki sayfaların içine enjekte edilir 3. Ziyaretçilere "tarayıcı güncelleme" sahte bildirimi gösterilir 4. İndirilen JS dosyası NetSupport RAT, Cobalt Strike yükler -- 262 byte: SocGholish'in en küçük örneklerinden biri
IOC
| SHA256 | 8f896f3f0b5f3341262b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0ab |
|---|---|
| Ele Geçirilmiş Site | seattlemysterylovers.com (Seattle kitabevi) |
| Stager URL | https://editions.seattlemysterylovers.com/I8l9JljrHk9H60cUFvxRBFHrRwRLqxNHRq4MU025Dkl |
SocGholish — Профиль вредоносного ПО
SocGholish FakeUpdates 2017. seattlemysterylovers.com ele gecirilmis kitabevi. 262 byte stager. CMS inject.
Тип вредоносного ПО
Loader
Язык программирования
JavaScript
C2 Протокол
HTTPS
Целевые системы
Kuresel Web Tarayıcı
Возможности и поведение
Payload İndirme
Süreç Enjeksiyonu
Modüler Mimari
Kimlik Bilgisi Hırsızlığı
Yanal Hareket
Kalıcılık
Anti-VM/Sandbox
İkincil Payload Dağıtımı
Список IOC (1 индикаторов)
IOC — SocGholish
# DOMAIN
seattlemysterylovers.com
| Тип | Значение | Примечание |
|---|---|---|
| domain | seattlemysterylovers.com |
C2 Серверы (1 зарегистрированных серверов для этого семейства)
| Адрес | Тип | Порт | Протокол | Статус | Страна |
|---|---|---|---|---|---|
| seattlemysterylovers.com | domain | 443 | HTTPS | active | — |
Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.