Manuel Statik Analiz (LLM Okumali) — WarzoneRAT (AveMaria) | Tehdit: YUKSEK

Файл Kimligi

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
Файл AdiVvdsupbjet.exe (rastgele isimli)
Platform.NET (AES sifrelenmis C2)
Размер363.008 byte
String Sayisi1.858

Sifreleme Kaniti

CreateDecryptor -- .NET AES sifresi
CreateEncryptor -- .NET AES sifresi
LegalKeySizesValue, set_KeySize, KeySizes -- AES anahtar konfigurasyon

WarzoneRAT Hakkinda

WarzoneRAT (AveMaria), 2018 yilindan bu yana aktif olan C++ tabanli bir RAT ailesidir. Mevcut aile MaaS (Malware-as-a-Service) olarak satilmaktadir. Yetenekleri: HVNC (Gizli Masaustu), Keylogger, Password Grabber, Uzaktan Shell, Kamera erisimi, UAC Bypass, Process Enjeksiyonu. C++ implant; .NET ise wrapper veya builder.

IOC

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
C2AES sifrelenmis (runtime decrypt)
Platform.NET AES

WarzoneRAT — Профиль вредоносного ПО

WarzoneRAT Ave Maria RAT. 2026 itibariyla aktif. Tarih prefixli dagitim. Config karması 45A06E. Uclu anti-debug.

Тип вредоносного ПО
RAT
Язык программирования
C++
C2 Протокол
TCP
Целевые системы
Windows
Другие названия (AKA)
Ave Maria

Технические детали

C++, AES-256 sifreleme, TCP, Hidden VNC, DVD kamera, Stealer, Privilege escalation, Anti-sandbox (CPUID kontrol), Bot iletisimi JSON tabanli

Атрибуция / Актор угрозы

Daniel Meli (Malta) tarafindan yonetilen MaaS operasyonu. 2024'te FBI tarafindan tutuklanmis ve botnet altyapisi cokertilmistir.

Возможности и поведение

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Список IOC (1 индикаторов)

IOC — WarzoneRAT
# SHA256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
ТипЗначениеПримечание
sha256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
WarzoneRAT — Полный профиль →

C2 Серверы (2 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
185.216.36.143 ip 4500 TCP inactive BG
cloudflareprotected.xyz domain 5200 TCP inactive RU

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
warzoneratavemarianetaesratsifreli