Ursnif - CCleaner1.zip [1f2f0fcf]

Tehdit Значениеlendirmesi

Bu ornek, hedef sisteme ek zararlı yazılım yuklemek amacıyla tasarlanmis moduler bir yukleyici (loader) olarak tespit edilmistir. Bankacılık trojanları, fidye yazılımları veya diger ikinci asama yukler indirebilmektedir.

Обнаруженные возможности

• Payload Indirme
• Surec Enjeksiyonu
• Kalicilik
• Anti-Analiz
• Sifrelenmis Iletisim

Метки MalwareBazaar

Примечание к анализу

Bu ornek Ursnif ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

Ursnif — Профиль вредоносного ПО

Ursnif/Gozi ISFB banking trojan 2007. magic.js 1 string max obfuski. kpmg/thelancet camouflage. Discord CDN. Man-in-browser.

Тип вредоносного ПО

Other

Язык программирования

C++

C2 Протокол

HTTPS

Целевые системы

Windows

Другие названия (AKA)

Gozi

Технические детали

Ursnif (Gozi/ISFB) is one of the oldest banking trojans, active since 2007. Source code leaked 2010 and 2015 spawning numerous variants: ISFB, RM3, LDR4. Man-in-the-browser attacks: form grabbing, video capture of banking sessions, web injections. C2 uses RSA-1024 encrypted HTTPS with domain generation algorithm (DGA) as fallback. RSA-2048 for config encryption, custom binary protocol. Anti-analysis: timing-based sandbox evasion, VMware/VirtualBox artifact detection. LDR4 variant (2022) dropped banking features to focus purely on ransomware delivery. Operated by TA544 (Narwhal Spider) in Italy, and by TA551 (Shathak) in Japan. Uses HTTPS for exfiltration with binary data format.

Атрибуция / Актор угрозы

TA544 (Narwhal Spider), TA551 (Shathak), multiple operators

Возможности и поведение

Zararlı Yazılım Aktivitesi

Kalıcılık Mekanizması

C2 İletişimi

Anti-Analiz

Список IOC (2 индикаторов)

IOC — Ursnif Копировать

# SHA256 1f2f0fcf6f0870dd3ad85410d6a94a840c9ab5d89a003288ec5c77aae0a0d5f4 # MD5 b38aa707b7cf88371d62dbf19d6a8e40

Тип	Значение	Примечание
sha256	1f2f0fcf6f0870dd3ad85410d6a94a840c9ab5d89a003288ec5c77aae0a0d5f4
md5	b38aa707b7cf88371d62dbf19d6a8e40

C2 Серверы (1 зарегистрированных серверов для этого семейства)

Адрес	Тип	Порт	Протокол	Статус	Страна
91.92.109.38	ip	8080	HTTP	sinkholed	RU

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.