NjRAT » 3709e6f489626cd6300e0a4f3506d12d4aea8097 [3709e6f4]

Tehdit 值lendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

检测到的功能

• Uzaktan Erisim
• Keylogging
• Ekran Goruntüsü
• 文件 Yonetimi
• Kabuk Erisimi

MalwareBazaar 标签

分析说明

Bu ornek NjRAT ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

NjRAT — 恶意软件档案

njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.

恶意软件类型

RAT

编程语言

VB.NET

C2协议

TCP (varsayilan port 1177)

目标系统

Windows

别名 (AKA)

Bladabindi, H-Worm, houdini

技术细节

TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera

归因 / 威胁行为者

Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.

能力与行为

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC列表 (2 个指标)

IOC — NjRAT 复制

# SHA256 3709e6f489626cd6300e0a4f3506d12d4aea80973bfa8673608b1fa20d2fd71a # MD5 730547e213a4b8684936cc9453865886

类型	值	备注
sha256	3709e6f489626cd6300e0a4f3506d12d4aea80973bfa8673608b1fa20d2fd71a
md5	730547e213a4b8684936cc9453865886

C2服务器 (该家族共有 8 台已记录服务器)

地址	类型	端口	协议	状态	国家
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。