XWorm — awb_fedex_original_shipping_documents_bl [b0479587]

XWorm | Tehdit Seviyesi: high | Tür: RAT

Kriptografik Tanımlayıcılar

SHA256	`b0479587dda76317e2e2261984b0522ce0f4e08d2b9093414618c6cbdf7ace6c`
MD5	`880b6cc18121cc7e416e09100509161e`
Dosya Türü	js
Boyut	2331.9 KB
İlk Görülme	2026-05-06
Dosya Adı	awb_fedex_original_shipping_documents_bl_tax_clearance_custom_duty_2026_06_pdf.js
Etiketler	js, xworm

Malware Ailesi: XWorm

XWorm, 2022'de ortaya çıkan çok işlevli RAT'tır.

Tür	RAT
Programlama Dili	.NET C#
Hedef Platform	Windows
C2 Protokolü	TCP
Amaç	Uzaktan erişim, infostealer
İlk Görülen Yıl	2022

Tehdit Göstergeleri (IOC)

SHA256: b0479587dda76317e2e2261984b0522ce0f4e08d2b9093414618c6cbdf7ace6c
MD5: 880b6cc18121cc7e416e09100509161e

Sistem Temizleme Rehberi

Sistemi ağdan ayırın — ethernet çıkarın, Wi-Fi devre dışı bırakın
Görev Yöneticisi'nden şüpheli process'leri sonlandırın
Malwarebytes veya Kaspersky ile tam sistem taraması yapın
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
Yeni oluşturulan görevleri Task Scheduler'dan inceleyin
Tüm hesap şifrelerinizi güvenli bir cihazdan değiştirin
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

YARA Kuralı İpuçları

rule XWorm_SHA256 {
    meta:
        description = "XWorm sample: b0479587dda76317"
        threat_level = "high"
        first_seen = "2026-05-06"
    condition:
        hash.sha256(0, filesize) == "b0479587dda76317e2e2261984b0522ce0f4e08d2b9093414618c6cbdf7ace6c"
}

XWorm — 恶意软件档案

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

恶意软件类型

RAT

编程语言

.NET C#

C2协议

TCP

目标系统

Windows

技术细节

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

能力与行为

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC列表 (2 个指标)

IOC — XWorm

# SHA256
b0479587dda76317e2e2261984b0522ce0f4e08d2b9093414618c6cbdf7ace6c

# MD5
880b6cc18121cc7e416e09100509161e

类型	值	备注
sha256	b0479587dda76317e2e2261984b0522ce0f4e08d2b9093414618c6cbdf7ace6c
md5	880b6cc18121cc7e416e09100509161e

XWorm — 查看完整档案 →

C2服务器 (该家族共有 8 台已记录服务器)

地址	类型	端口	协议	状态	国家
system.io	domain	—	TCP	active	—
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。

标签

xwormratmalwarehighsha256analizzenginleştirilmiş