�z��a���",����# �J��FAd�Hx���x��ީ����Pm�� l ������ j�@s�����M�c3�w^���.�� O�J\-��� ��@�i3���O��%���s� ��Q�EN�_]�Q,��G�=��*���L9�s�=�� [ T��� ���N̍8Lv��a<�A�$��k���k��`~��� ��_d/����q ���9�� ���@t�Z��jG�ں�XGJC� *K#<݊�+�p~�W������&�����\�H�ՊO GhТ � yF�` c�f'[Xe�dA�K� b����+�},�,4M����S_&��^�4_�w �w�'�!,� ��8�b7 ��hH��x\!����бɝ�e��g+�t� �?������c����a��,w�+\gER�G|[@t�W%��=�C�:�ə�?�0�"D�����vХ��C�|����ǩ�P[Q����h\XotH�� ��[��L�$�G�瘯Y|-� J� ��އ0��7oD�K 2!�k� �XF{�R���� e�{���2+;ý�8���@fZ�߱r䬎�� ğ�M���R��O�4�KYkQ��"ٮ�Cq�h�@���!`� � X�d��y�a"9�(*��6��� �C�5��CSV�9�'#�C_�� H���0�5�;��(XD<dD� ����F�7����bT�:L5��b����F���/Iʹ7�D���NύX���L���_E ٛvt,�����d��xt� 6�fS�źYҺص�*W=�o���k�ՊG.�r� ��'�= �|%� �scOa��>�>��̢G{�#S�Q�L�N��)�D^�Jq�*p�Si���'늡�o����Kڭ0�uH�K��0��ܡ���� ���(��<�5oݜq�<&F�s�]�R�ߚ��jB��[� x�ӛ&�n)q�zQ�� M�K����R����ɺ�+J��,��0EP�ѹ���cI#��~�N����O0F�^l.�kX�:8,!�Zm�YK�����\b�5��з�F�N��yjR�!{WxY� *��S����*^,���;���i�Y����ݾ��G� י<�����b�NN& �,u$�Z4.W��c[�Q�edr�3���������nJ�ք�,�*|�� P��(�� �Hr�i{ ��]��^�A �/ Io �*w�ER,�T<�=�_2��U�Fm��\ych�>�8D�ksZ�L�=�Gu\~*2��UG'� �e����`[a�9���/�g!`p������ܐ� ����z���se\�e��"A��}ޞ�C<Pr%g�R^g,��m8�/ ���h�&��O,!�l�>���N�!��/K��rZ0�/��\~��η�[��#�K pγjHP���e8�[���z`�- �h���n��ץ�纃:/�ް ��r���R "2v�����[P5G���Ŧ\T{}ln���'��λ��7�H;)0�*�����L ��I)=r#�G-HQ%v�p7�����j�b]*b^d��Œ Њ9_�3m�Y�?q�y�(q��P%<y@�?�>|�����D�L��F� ~��Gt��^�u��$i�|iY#����p9���f�cm� ����?;A�5P^��X6>�9�b�f�S@�퇎^�Hz�nns� ���k��iE<4��5-J� ��>����ʽ��Z���t���Y�\Ċ+� ϊSU �vz�WA���Ե<�A�9�'�}�e��B�CG�y���1�h��t���T0 ��S運"��H5W� �6��0��g�1�$e_��<rb��C��� ����#�����d��"Re1/twOOL#�%|�hGJ�"H��<���z8sA֕b~���]���]�X�~�q���F���eF2�Х�iH�0@v���< ��3��v�55Ijpc�CJBu���~�Ea)1���Zx�� �#��탖Ja�~���{�I�AG�z�p�{b� Y��;jZ/ (�L$� 1� ���B���<x��Ƒ�y�A��-�����+�ڬ2��1����e���r릝�"EP�(}�TW�L����*���N[A� �� +���#�#�{՝hp�N16��q� 0xݮ�QUA�Vp�%���l>� Q�� �C&�<�Q+���fs7eq9U�<��|���=�y�����ζ�dj'y_�� q�9�r/�� uD�yg����K$�|+�P�w���[�w?}C��~�煦(�e�v���@�U'C@�@�0n�)%��形A�ܬ%?x��im#�帀�S��0rAA�$�S8�h̦�&�[�8�]~�*� ��m� �o1m����#�s����5gQ� ��-�q��*���|>��b�mJ4ϐ� 2���s��|gPYt�$�ܻ�T@�����BМ��B���7��{���e�0�*��T���������a;���"D�d�omDR ��ti��17 ���9��<B���' �1� �R�L �0��%_M)��o�Id7m}�e���]��e0Sg5YH�� @�� ����u�A4]�D�9���VQ";��)���x�Z���� �'�$��H� �5y��a�+�z���6ɎɏT�Q��tҎ�/< ?X��۶���̆!����^�${D��D�"%fk�)fiZ����`���'��� V��U�\O.�O�Pخ�DEG@�� �V��ȕ�s��V����I����z�$;L��J�RQ�Qx�A���p/�[��j����婍V۷�}#�7 )j��,�v�*�*p����\'�{� f��j�n�~#��V�W僰)ƛ��%��䰦Q��R���t��a���/�c�&bt=:z��� �@+���' �J%�f�v1{�Ҋ1��Uj�8H����~�0T(�7wZZvPxY�y�g�5j��*��3���p�,�I��>^C���l�5�}��P+�7��� �K���ܺ́L�\�.�c~����ʲ��ՙ��V;N�]&�61���F��sE~P랸�ޠ �.H��88��#�0�:Yp��?8�x*߱�S9���#�)�PI�P=���@�嵹V��:4?d��Iv5'�4%�?������tY\����s�� � �v��Ƈ�EI�MK����@.���^�U�T% T��a)o�aC n�2��
General
-
Target
2025-03-30_38531f553d3fbb005986a8dc1918a3d7_amadey_cobalt-strike_smoke-loader
-
Size
4.8MB
-
MD5
38531f553d3fbb005986a8dc1918a3d7
-
SHA1
5094614a0de1fa6715f768eaa62aaaf71f5edddd
-
SHA256
d6f91424d9ddcd934eca5d2e3fb65dba42b4c2ec3ce1a9f5e90f19e0b0b70dc6
-
SHA512
c283afc7903eebc32daf2b297d9356c25c611c8355169a4ecc14e8a3ba2158917363f43a221836e704da42b256f90d70a854aebd14b402ce5004ef00cfe1d567
-
SSDEEP
98304:Knsmtk2a9pCd614yoqkcpDcL6o2mpQ5ZuzM/Vy1adhZ0HMvP2JQgD8PFyJgRqTS9:ELCBVovcdcL9tpQezKVJdhZIS+JQgDm9
Malware Config
Extracted
metasploit
windows/reverse_tcp
192.168.206.130:6666
Extracted
xred
xred.mooo.com
-
payload_url
http://freedns.afraid.org/api/?action=getdyndns&sha=a30fa98efc092684e8d1c5cff797bcc613562978
https://docs.google.com/uc?id=0BxsMXGfPIZfSVlVsOGlEVGxuZVk&export=download
https://www.dropbox.com/s/n1w4p8gc6jzo0sg/SUpdate.ini?dl=1
http://xred.site50.net/syn/SUpdate.ini
https://docs.google.com/uc?id=0BxsMXGfPIZfSVzUyaHFYVkQxeFk&export=download
https://www.dropbox.com/s/zhp1b06imehwylq/Synaptics.rar?dl=1
http://xred.site50.net/syn/Synaptics.rar
https://docs.google.com/uc?id=0BxsMXGfPIZfSTmlVYkxhSDg5TzQ&export=download
https://www.dropbox.com/s/fzj752whr3ontsm/SSLLibrary.dll?dl=1
http://xred.site50.net/syn/SSLLibrary.dll
Signatures
-
Metasploit family
-
Xred family
-
Unsigned PE 1 IoCs
Checks for missing Authenticode signature.
Files
-
2025-03-30_38531f553d3fbb005986a8dc1918a3d7_amadey_cobalt-strike_smoke-loader
8ffae6f3f8317d4945633b4668415f4f
Headers
Imports
Exports
Sections