Manuel Statik Analiz — njRAT / BlaDaBindi | Tehdit: YUKSEK

文件 Kimliği

SHA25690d4826fc5e132f249664b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
文件名comfortconcept.exe
大小49.664 byte (.NET C#)
String Sayisi555

C2 Domain

comfortconcept.com  -- njRAT C2 sunucu domaini
-- Uydurma "comfort concept" şirket ismi
-- email.com, logs.com, fortconcept.com fragmentleri de görülüyor

njRAT Hakkında

njRAT (BlaDaBindi, Njw0rm), 2013'te Orta Doğu/Kuzey Afrika'da Arapça konuşan tehdit aktörleri tarafından geliştirilen ve yaygın kullanılan bir .NET RAT'ıdır. Keylogger, ekran görüntüsü, webcam, dosya yönetimi ve kabuk erişimi özellikleri sunar. MalwareBazaar'da en çok görülen malware ailelerinden biridir.

IOC

SHA25690d4826fc5e132f249664b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
C2comfortconcept.com
Anti-DebugNtSetInformationProcess

NjRAT — 恶意软件档案

njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.

恶意软件类型
RAT
编程语言
VB.NET
C2协议
TCP (varsayilan port 1177)
目标系统
Windows
别名 (AKA)
Bladabindi, H-Worm, houdini

技术细节

TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera

归因 / 威胁行为者

Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.

能力与行为

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOC列表 (4 个指标)

IOC — njRAT
# DOMAIN comfortconcept.com # DOMAIN email.com # DOMAIN logs.com # DOMAIN fortconcept.com
类型值备注
domain comfortconcept.com
domain email.com
domain logs.com
domain fortconcept.com
njRAT — 查看完整档案 →

C2服务器 (该家族共有 8 台已记录服务器)

地址 类型 端口 协议 状态 国家
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
comodoca.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
comodoca.com domain — TCP active —
microsoft.com domain — TCP active —

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。

标签
njratbladabindicomfortconcept-comc2-domainntsetinformationprocessmena-regionarabic-threat-actor