Manuel Statik Analiz — XWorm | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| 文件名 | Contract.exe (iş sözleşmesi lürü!) |
| 大小 | 728.576 byte (711KB) |
| String Sayisi | 3.505 |
Contract.exe: İş Sözleşmesi Lürü
Contract.exe -- "Contract" = iş sözleşmesi/kontrat belgesi taklidi -- Hedef: İK departmanları, hukuk ekipleri, satın alma -- "Contract.exe" + fatura gibi e-posta eki → tıklanır -- XWorm: geniş kurumsal hedef kitlesi
RecargarPanels: İspanyolca Builder UI
GELİŞTİRİCİ İZİ: İspanyolca arayüz!
RecargarPanels -- "Recargar" = İspanyolca: "yeniden yükle/doldur" -- "Panels" = panel'lar (İngilizce karışımı) -- XWorm builder UI'nın İspanyolca yerelleştirmesi! -- Geliştirici veya builder paneli İspanyolca -- Karşılaştır: QuasarRAT İngilizce, DCRat Rusça → XWorm İspanyolca UI! panelActions -- panel eylem konteyneri
Aggregate Modül Tipi
Aggregate Panel -- XWorm modüler mimari: "Aggregate" = birleştirici modül tipi -- Plugin toplama ve yükleme mekanizması -- NanoCore GetConfig/SetConfig'e benzer plugin sistemi
IOC
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Lure | Contract.exe (iş sözleşmesi) |
| UI | RecargarPanels (İspanyolca) |
XWorm — 恶意软件档案
XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.
恶意软件类型
RAT
编程语言
.NET C#
C2协议
TCP
目标系统
Windows
技术细节
C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — XWorm
# SHA256
7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
C2服务器 (该家族共有 8 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| eIL.ru | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| github.com | domain | — | TCP | active | — |
| system.io | domain | — | TCP | inactive | — |
| system.io | domain | — | TCP | inactive | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。