XWorm - Sample SHA256: ba3ae937 | High Threat Analysis

XWorm | 脅威レベル: high | 種別: RAT

暗号学的識別子

SHA256	`ba3ae937bd1d826fe270ea22b138974749aef0401d1c51a746a4c5e7cc382db7`
MD5	`cf358f16d2f741ac05f73a6305b1b366`
ファイル種別	exe
サイズ	113.5 KB
初回確認	2026-06-12
ファイル名	Loader.exe
タグ	exe, NjRAT, xworm

マルウェアファミリー: XWorm

XWorm, 2022'de ortaya çıkan çok işlevli RAT'tır.

種別	RAT
プログラミング言語	.NET C#
対象プラットフォーム	Windows
C2 プロトコル	TCP
目的	Uzaktan erişim, infostealer
初回確認年	2022

脅威指標 (IOC)

SHA256: ba3ae937bd1d826fe270ea22b138974749aef0401d1c51a746a4c5e7cc382db7
MD5: cf358f16d2f741ac05f73a6305b1b366

このサンプルのすべてのハッシュ値は VirusTotal で検証できます。

システムクリーンアップガイド

システムをネットワークから切断する（LAN ケーブルを抜き、Wi-Fi を無効化）
タスクマネージャーで不審なプロセスを終了する
Malwarebytes または Kaspersky でシステム全体をスキャンする
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
タスクスケジューラで新規作成されたタスクを確認する
安全な端末からすべてのアカウントのパスワードを変更する
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

YARA ルールのヒント

rule XWorm_SHA256 {
    meta:
        description = "XWorm sample: ba3ae937bd1d826f"
        threat_level = "high"
        first_seen = "2026-06-12"
    condition:
        hash.sha256(0, filesize) == "ba3ae937bd1d826fe270ea22b138974749aef0401d1c51a746a4c5e7cc382db7"
}

XWorm — マルウェアプロファイル

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

マルウェアの種類

RAT

プログラミング言語

.NET C#

C2プロトコル

TCP

標的システム

Windows

技術詳細

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

機能と挙動

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOCリスト (2 件の指標)

IOC — XWorm

# SHA256
ba3ae937bd1d826fe270ea22b138974749aef0401d1c51a746a4c5e7cc382db7 

# MD5
cf358f16d2f741ac05f73a6305b1b366

タイプ	値	メモ
sha256	ba3ae937bd1d826fe270ea22b138974749aef0401d1c51a746a4c5e7cc382db7	Sample:XWorm
md5	cf358f16d2f741ac05f73a6305b1b366	Sample:XWorm

XWorm — 完全プロファイルへ →

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
github.com	domain	—	TCP	active	—
system.io	domain	—	TCP	inactive	—
system.io	domain	—	TCP	inactive	—

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

xwormratmalwarehighsha256hash-analizi