XWorm - 86f38fbd44c7768b3517718879c60d7e6ae1641b [86f38fbd]

Tehdit 值lendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

检测到的功能

• Uzaktan Erisim
• Keylogging
• Ekran Goruntüsü
• 文件 Yonetimi
• Kabuk Erisimi

MalwareBazaar 标签

分析说明

Bu ornek XWorm ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

XWorm — 恶意软件档案

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

恶意软件类型

RAT

编程语言

.NET C#

C2协议

TCP

目标系统

Windows

技术细节

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

能力与行为

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC列表 (2 个指标)

IOC — XWorm 复制

# SHA256 86f38fbd44c7768b3517718879c60d7e6ae1641b6a58635aef4eb1a2ed223013 # MD5 edd1326a80aa66f30e2b559fb03d21d2

类型	值	备注
sha256	86f38fbd44c7768b3517718879c60d7e6ae1641b6a58635aef4eb1a2ed223013
md5	edd1326a80aa66f30e2b559fb03d21d2

C2服务器 (该家族共有 8 台已记录服务器)

地址	类型	端口	协议	状态	国家
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
github.com	domain	—	TCP	active	—
system.io	domain	—	TCP	inactive	—
system.io	domain	—	TCP	inactive	—

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。