RiskIQ проанализировал вредоносные файлы, размещенные в сети доставки контента (CDN) Discord, которые заканчивались различными расширениями файлов изображений (.jpeg, .jpg, .bmp, .png и .gif). Мы отметили несколько образцов, содержащих вредоносное ПО BitRAT; одна кампания, использующая ключевое слово "hypervisor" в некоторых связанных поддоменах.
BitRAT Malware
- BitRAT IOC
- BitRAT Malware IOCs
- AveMariaRAT / BitRAT / PandoraHVNC IOCs
- AZORult, BitRAT и Raccoon Stealer IOCs
RiskIQ заметил URL-адрес Discord, на котором был размещен файл, использующий расширение файла изображения .png, но на самом деле он содержит файл BitRAT:
- Discord Channel ID: 972537024118652979 (Создан 07 мая 2022 года)
- Имя файла, размещенного в Discord: instaenhancer_Sqycpxps.png
- Хеш SHA256 хоста Discord: 33d154f70edcba9c3d62fd8587816dea1e06ac318bb7c0140cf7bc7e153a8b74
- BitRAT SHA256 хэш: 5bf8991a61f6a801bc10ffca78c4ee78236dfc1a920f29a678c8072b5c2d67ce
Indicators Of Compromise
IPv4
- 194.31.98.71
Domains
- api.hypervisor.vip
- hypervisor.access.ly
Domains and Port
- hypervisor.access.ly:5506
URLs
- http://194.31.98.71/Tfwknu.exe
- http://hypervisor.access.ly/
- https://cdn.discordapp.com/attachments/972537024118652979/976575500258537532/instaenhancer_Sqycpxps.png
- https://cdn.discordapp.com/attachments/972537024118652979/978933282127368223/resolution.bat
MD5
- 02cf4eefddfd2fec5f9a3d3dc7cbf9f6
- 1b6c474a208d30b7a616ecaf277d06a9
- 1bad39887cf797d69dab129a1c324774
- 254971fa6d77677f9f29645f33bababf
- 41f9a286d603df5acd98904b1a854d2a
- 46b6a68ec1ef118f3a79a83947cc6aec
- 4a4b5e4d8890a1c96f4f606243077553
- 7757ed6b13aa8e9d24bcfacf393cfbac
- b09832d6000635998b624547db039dd5
- b7e6714fff0772bde6bc8cbb3ae7f11b
- bce3fe5977aa8139a0412e11e4c5c035
- e1873f50347794aefd92f364dd737ef5
- e545726fbb1d46eced9850438d2f5bc6
- e6bb69c1b156e8245d150dd95db3737f
SHA256
- 33d154f70edcba9c3d62fd8587816dea1e06ac318bb7c0140cf7bc7e153a8b74
- 3b3fb310953c9df26b4b12ff3ddfddd17d10312dd3fe1b3abb8d9aeca743fb62
- 4d7ad24881efc8d247aafad80714ef4c8bd1d5136fb0081e9fb4f7c21e19e13a
- 597c67bb4c255b2c21c2230c34c4de0431050c0a540e0be814d3c3f077d4c055
- 5bf8991a61f6a801bc10ffca78c4ee78236dfc1a920f29a678c8072b5c2d67ce
- 6a64da53b7c3969a72324c3d02096b93a7fa50581dc23e391c2195f99b9d792f
- 8439b06adba0466f2588c4761ff6c7ea82640717141ed7553b168bc2fa42af74
- af5fd19f9f024f13c10c918b9360931ad2745859be3b9345444f9617f8fef39b
- ba54879b51e7d2000d0de06e127afbf58d49bf217839daf7f81ac2f151d1b0d9
- bbfeca650d2cdff7dd3c33791f0adaa1e1a3561dca0aa1c997ae5ee6c7f6d15b
- cd821108c8d45d0e9efaa5bfb4e5873753e37ba68ff48887973fe41c94716bcd
- e6d33af20976d2084c6060af0c68cd3e39e77caa570b87a5df430d435e3d1bb6
- f61129a831c8807cbf4be03626e2f5e0f64a1afba7b5a8ea588164dce206af8b
- f8fa2ca9909367459abe40bc5e6ec5e62f4f96d3311ee75db1d78e6f1b70abac