Manuel Statik Analiz — NanoCore RAT | Tehdit: YUKSEK
ファイル Kimliği
| SHA256 | 4eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e |
|---|---|
| ファイル名 | pk68.io.exe |
| サイズ | 207.872 byte |
| String Sayisi | 286 (yoğun sıkıştırma) |
Geliştirici PDB İzi
C:\crysis\Release\PDB\payload.pdb -- Geliştirici "crysis" proje adını kullanıyor -- Ransomware kültüründen esinlenmiş adlandırma
NanoCore Hakkında
NanoCore RAT, 2013'ten beri aktif .NET tabanlı uzaktan erişim trojanıdır. Plugin mimarisi ile keylogger, ekran kayıt, dosya yönetimi, uzaktan shell, DDoS ve kripto madenciliği destekler. 2015'te kaynak kodu sızdırılmış, sonraki versiyonlar daha gelişmiş kriptolanmış C2 kullanan çeşitli varyantlarla yayılmıştır.
IOC
| SHA256 | 4eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e |
|---|---|
| PDB Yolu | C:\crysis\Release\PDB\payload.pdb |
NanoCore — マルウェアプロファイル
NanoCore RAT .NET. HP scanner lures. FqStwIZtCP PDB path recurring. Plugin: GetConfig/SetConfig/conjugatePair.
マルウェアの種類
RAT
プログラミング言語
.NET
C2プロトコル
TCP
標的システム
Windows
技術詳細
.NET, plugin tabanli (DLL eklentiler), AES-128 sifreleme, port TCP dinamik, Mutex rastgele GUID, GetAsyncKeyState keylogger, Clipboard monitor, Remote Shell (cmd.exe), Hidden VNC, Password Recovery
機能と挙動
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOCリスト (1 件の指標)
IOC — NanoCore
# SHA256
4eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e
| タイプ | 値 | メモ |
|---|---|---|
| sha256 | 4eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e |
C2サーバー (このファミリーで4台のサーバーを記録)
| アドレス | タイプ | ポート | プロトコル | ステータス | 国 |
|---|---|---|---|---|---|
| pk68.io | domain | 443 | HTTPS | inactive | — |
| 195.3.221.139 | ip | 4782 | TCP | inactive | RO |
| UNKNOWN_HOST | unknown | 8918 | TCP | inactive | — |
| 37.140.192.146 | ip | 7707 | TCP | sinkholed | UA |
C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。