Manuel Statik Analiz — XWorm | Tehdit: YUKSEK
ファイル Kimliği
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| ファイル名 | Contract.exe (iş sözleşmesi lürü!) |
| サイズ | 728.576 byte (711KB) |
| String Sayisi | 3.505 |
Contract.exe: İş Sözleşmesi Lürü
Contract.exe -- "Contract" = iş sözleşmesi/kontrat belgesi taklidi -- Hedef: İK departmanları, hukuk ekipleri, satın alma -- "Contract.exe" + fatura gibi e-posta eki → tıklanır -- XWorm: geniş kurumsal hedef kitlesi
RecargarPanels: İspanyolca Builder UI
GELİŞTİRİCİ İZİ: İspanyolca arayüz!
RecargarPanels -- "Recargar" = İspanyolca: "yeniden yükle/doldur" -- "Panels" = panel'lar (İngilizce karışımı) -- XWorm builder UI'nın İspanyolca yerelleştirmesi! -- Geliştirici veya builder paneli İspanyolca -- Karşılaştır: QuasarRAT İngilizce, DCRat Rusça → XWorm İspanyolca UI! panelActions -- panel eylem konteyneri
Aggregate Modül Tipi
Aggregate Panel -- XWorm modüler mimari: "Aggregate" = birleştirici modül tipi -- Plugin toplama ve yükleme mekanizması -- NanoCore GetConfig/SetConfig'e benzer plugin sistemi
IOC
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Lure | Contract.exe (iş sözleşmesi) |
| UI | RecargarPanels (İspanyolca) |
XWorm — マルウェアプロファイル
XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.
マルウェアの種類
RAT
プログラミング言語
.NET C#
C2プロトコル
TCP
標的システム
Windows
技術詳細
C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu
機能と挙動
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOCリスト (1 件の指標)
IOC — XWorm
# SHA256
7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0
| タイプ | 値 | メモ |
|---|---|---|
| sha256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
C2サーバー (このファミリーで8台のサーバーを記録)
| アドレス | タイプ | ポート | プロトコル | ステータス | 国 |
|---|---|---|---|---|---|
| eIL.ru | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| github.com | domain | — | TCP | active | — |
| system.io | domain | — | TCP | inactive | — |
| system.io | domain | — | TCP | inactive | — |
C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。