Manuel Statik Analiz — njRAT / BlaDaBindi | Tehdit: YUKSEK

Файл Kimliği

SHA25690d4826fc5e132f249664b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
Имя файлаcomfortconcept.exe
Размер49.664 byte (.NET C#)
String Sayisi555

C2 Domain

comfortconcept.com  -- njRAT C2 sunucu domaini
-- Uydurma "comfort concept" şirket ismi
-- email.com, logs.com, fortconcept.com fragmentleri de görülüyor

njRAT Hakkında

njRAT (BlaDaBindi, Njw0rm), 2013'te Orta Doğu/Kuzey Afrika'da Arapça konuşan tehdit aktörleri tarafından geliştirilen ve yaygın kullanılan bir .NET RAT'ıdır. Keylogger, ekran görüntüsü, webcam, dosya yönetimi ve kabuk erişimi özellikleri sunar. MalwareBazaar'da en çok görülen malware ailelerinden biridir.

IOC

SHA25690d4826fc5e132f249664b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
C2comfortconcept.com
Anti-DebugNtSetInformationProcess

NjRAT — Профиль вредоносного ПО

njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.

Тип вредоносного ПО
RAT
Язык программирования
VB.NET
C2 Протокол
TCP (varsayilan port 1177)
Целевые системы
Windows
Другие названия (AKA)
Bladabindi, H-Worm, houdini

Технические детали

TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera

Атрибуция / Актор угрозы

Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.

Возможности и поведение

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Список IOC (4 индикаторов)

IOC — njRAT
# DOMAIN comfortconcept.com # DOMAIN email.com # DOMAIN logs.com # DOMAIN fortconcept.com
ТипЗначениеПримечание
domain comfortconcept.com
domain email.com
domain logs.com
domain fortconcept.com
njRAT — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
comodoca.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
comodoca.com domain — TCP active —
microsoft.com domain — TCP active —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
njratbladabindicomfortconcept-comc2-domainntsetinformationprocessmena-regionarabic-threat-actor