Manuel Statik Analiz — CrimsonRAT (Pakistan APT) | Tehdit: KRITIK
文件 Kimliği
| SHA256 | 8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d |
|---|---|
| 文件名 | Invitation-Letter-Fazel-Mumbai.iso |
| 大小 | 4.784.128 byte (ISO) |
| String Sayisi | 25.344 |
Güney Asya Hedefleme Tuzağı
APT Hedef: "Mumbai'de Davet Mektubu" = Hindistan kurumsal hedefleme! Pakistan kaynaklı APT operasyonu.
Invitation-Letter-Fazel-Mumbai -- Hindistan/Mumbai odaklı spear-phishing -- Fazel = İslam kökenli isim → Pakistan→Hindistan APT hedefleme
Cleartext C2 Domain
http://java-for-minecraft.com/ -- AÇIK METİN C2 sunucusu -- "Minecraft Java" gibi görünen meşru yazılım taklidi! l2vD8Fitdl8qSVEp19.mE -- Şifreli C2 fragmenti (.me TLD)
CrimsonRAT ve Pakistan APT Hakkında
CrimsonRAT, Transparent Tribe (APT36) olarak bilinen Pakistan devlet destekli tehdit aktörüne atfedilen uzaktan erişim trojanıdır. 属性le Hindistan hükümeti, ordusu ve savunma sanayii çalışanlarını hedefler. ISO/ZIP içinde meşru görünen belgelerle dağıtılır. Keylogger, ekran görüntüsü, dosya hırsızlığı ve reverse shell yetenekleri vardır.
IOC
| SHA256 | 8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d |
|---|---|
| C2 | java-for-minecraft.com |
| Lure | Invitation-Letter-Fazel-Mumbai ISO |
CrimsonRAT — 恶意软件档案
CrimsonRAT APT36 Transparent Tribe Pakistan 2017. ICWA Mumbai Hindistan diplomatik lure. java-for-minecraft.com. .NET+Delphi.
恶意软件类型
RAT
编程语言
.NET
C2协议
TCP
目标系统
Hindistan, Pakistan — hukumet, savunma, think-tank
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — CrimsonRAT
# SHA256
8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d |
C2服务器 (该家族共有 2 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| java-for-minecraft.com | domain | 80 | HTTP | active | — |
| java-for-minecraft.com | domain | 80 | HTTP | active | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。