Manuel Statik Analiz — CrimsonRAT (Pakistan APT) | Tehdit: KRITIK
ファイル Kimliği
| SHA256 | 8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d |
|---|---|
| ファイル名 | Invitation-Letter-Fazel-Mumbai.iso |
| サイズ | 4.784.128 byte (ISO) |
| String Sayisi | 25.344 |
Güney Asya Hedefleme Tuzağı
APT Hedef: "Mumbai'de Davet Mektubu" = Hindistan kurumsal hedefleme! Pakistan kaynaklı APT operasyonu.
Invitation-Letter-Fazel-Mumbai -- Hindistan/Mumbai odaklı spear-phishing -- Fazel = İslam kökenli isim → Pakistan→Hindistan APT hedefleme
Cleartext C2 Domain
http://java-for-minecraft.com/ -- AÇIK METİN C2 sunucusu -- "Minecraft Java" gibi görünen meşru yazılım taklidi! l2vD8Fitdl8qSVEp19.mE -- Şifreli C2 fragmenti (.me TLD)
CrimsonRAT ve Pakistan APT Hakkında
CrimsonRAT, Transparent Tribe (APT36) olarak bilinen Pakistan devlet destekli tehdit aktörüne atfedilen uzaktan erişim trojanıdır. 項目le Hindistan hükümeti, ordusu ve savunma sanayii çalışanlarını hedefler. ISO/ZIP içinde meşru görünen belgelerle dağıtılır. Keylogger, ekran görüntüsü, dosya hırsızlığı ve reverse shell yetenekleri vardır.
IOC
| SHA256 | 8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d |
|---|---|
| C2 | java-for-minecraft.com |
| Lure | Invitation-Letter-Fazel-Mumbai ISO |
CrimsonRAT — マルウェアプロファイル
CrimsonRAT APT36 Transparent Tribe Pakistan 2017. ICWA Mumbai Hindistan diplomatik lure. java-for-minecraft.com. .NET+Delphi.
マルウェアの種類
RAT
プログラミング言語
.NET
C2プロトコル
TCP
標的システム
Hindistan, Pakistan — hukumet, savunma, think-tank
機能と挙動
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOCリスト (1 件の指標)
IOC — CrimsonRAT
# SHA256
8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d
| タイプ | 値 | メモ |
|---|---|---|
| sha256 | 8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d |
C2サーバー (このファミリーで2台のサーバーを記録)
| アドレス | タイプ | ポート | プロトコル | ステータス | 国 |
|---|---|---|---|---|---|
| java-for-minecraft.com | domain | 80 | HTTP | active | — |
| java-for-minecraft.com | domain | 80 | HTTP | active | — |
C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。