NanoCore — kimc.exe [202dd2a2]

Tehdit Degerlendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

Tespit Edilen Yetenekler

• Uzaktan Erisim
• Keylogging
• Ekran Goruntüsü
• Dosya Yonetimi
• Kabuk Erisimi

MalwareBazaar Etiketleri

Analiz Notu

Bu ornek NanoCore ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

NanoCore — マルウェアプロファイル

NanoCore RAT .NET. HP scanner lures. FqStwIZtCP PDB path recurring. Plugin: GetConfig/SetConfig/conjugatePair.

マルウェアの種類

RAT

プログラミング言語

.NET

C2プロトコル

TCP

標的システム

Windows

技術詳細

.NET, plugin tabanli (DLL eklentiler), AES-128 sifreleme, port TCP dinamik, Mutex rastgele GUID, GetAsyncKeyState keylogger, Clipboard monitor, Remote Shell (cmd.exe), Hidden VNC, Password Recovery

機能と挙動

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOCリスト (2 件の指標)

IOC — NanoCore コピー

# SHA256 202dd2a2a83208c237fcc87f2a077792b8e66815ce36d1dcd9de32a5f3ebab5b # MD5 3b7ccb4eb2ba5f3156526ec60cc3033b

タイプ	値	メモ
sha256	202dd2a2a83208c237fcc87f2a077792b8e66815ce36d1dcd9de32a5f3ebab5b
md5	3b7ccb4eb2ba5f3156526ec60cc3033b

C2サーバー (このファミリーで4台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
pk68.io	domain	443	HTTPS	inactive	—
195.3.221.139	ip	4782	TCP	inactive	RO
UNKNOWN_HOST	unknown	8918	TCP	inactive	—
37.140.192.146	ip	7707	TCP	sinkholed	UA

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。