XWorm — RFQ-Oct-19_xls.z [2a644f38]

XWorm | Tehdit Seviyesi: high | Tür: RAT

Kriptografik Tanımlayıcılar

SHA256	`2a644f386d83da252750ef5bedd1dbda224a247e3f3864730c8f73c0341a611a`
MD5	`1dd6355ec346d79c195fa3258ca7447a`
Dosya Türü	z
Boyut	74.1 KB
İlk Görülme	2026-05-20
Dosya Adı	RFQ-Oct-19_xls.z
Etiketler	xworm, z

Malware Ailesi: XWorm

XWorm, 2022'de ortaya çıkan çok işlevli RAT'tır.

Tür	RAT
Programlama Dili	.NET C#
Hedef Platform	Windows
C2 Protokolü	TCP
Amaç	Uzaktan erişim, infostealer
İlk Görülen Yıl	2022

Tehdit Göstergeleri (IOC)

SHA256: 2a644f386d83da252750ef5bedd1dbda224a247e3f3864730c8f73c0341a611a
MD5: 1dd6355ec346d79c195fa3258ca7447a

Sistem Temizleme Rehberi

Sistemi ağdan ayırın — ethernet çıkarın, Wi-Fi devre dışı bırakın
Görev Yöneticisi'nden şüpheli process'leri sonlandırın
Malwarebytes veya Kaspersky ile tam sistem taraması yapın
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
Yeni oluşturulan görevleri Task Scheduler'dan inceleyin
Tüm hesap şifrelerinizi güvenli bir cihazdan değiştirin
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

YARA Kuralı İpuçları

rule XWorm_SHA256 {
    meta:
        description = "XWorm sample: 2a644f386d83da25"
        threat_level = "high"
        first_seen = "2026-05-20"
    condition:
        hash.sha256(0, filesize) == "2a644f386d83da252750ef5bedd1dbda224a247e3f3864730c8f73c0341a611a"
}

XWorm — 恶意软件档案

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

恶意软件类型

RAT

编程语言

.NET C#

C2协议

TCP

目标系统

Windows

技术细节

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

能力与行为

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC列表 (2 个指标)

IOC — XWorm

# SHA256
2a644f386d83da252750ef5bedd1dbda224a247e3f3864730c8f73c0341a611a

# MD5
1dd6355ec346d79c195fa3258ca7447a

类型	值	备注
sha256	2a644f386d83da252750ef5bedd1dbda224a247e3f3864730c8f73c0341a611a
md5	1dd6355ec346d79c195fa3258ca7447a

XWorm — 查看完整档案 →

C2服务器 (该家族共有 8 台已记录服务器)

地址	类型	端口	协议	状态	国家
system.io	domain	—	TCP	active	—
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。

标签

xwormratmalwarehighsha256analizzenginleştirilmiş