Хеш / ИнформацияЗначение
SHA256290edd6d3ed29a29820d0ca6f5f62716426ea89f73bd1f575400ac2d78f39c8f
MD5abc3926bfbb605fedea9a6c9a74802ed
SHA1e18b95f51a8017b8cc3343f6db69fd2a785363a0
ImpHashed1fbfbad6ac1c8f1815f39cd131b344
Файл Adifile
Тип файлаexe
Размер3,349,320 bytes
Первое обнаружение2026-05-03

Tehdit Значениеlendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

Обнаруженные возможности

  • Uzaktan Erisim
  • Keylogging
  • Ekran Goruntüsü
  • Файл Yonetimi
  • Kabuk Erisimi

Метки MalwareBazaar

dropped-by-gcleanerexeGsignedUS.filexworm

Примечание к анализу

Bu ornek XWorm ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

XWorm — Профиль вредоносного ПО

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

Тип вредоносного ПО
RAT
Язык программирования
.NET C#
C2 Протокол
TCP
Целевые системы
Windows

Технические детали

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

Возможности и поведение

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Список IOC (2 индикаторов)

IOC — XWorm
# SHA256 290edd6d3ed29a29820d0ca6f5f62716426ea89f73bd1f575400ac2d78f39c8f # MD5 abc3926bfbb605fedea9a6c9a74802ed
ТипЗначениеПримечание
sha256 290edd6d3ed29a29820d0ca6f5f62716426ea89f73bd1f575400ac2d78f39c8f
md5 abc3926bfbb605fedea9a6c9a74802ed
XWorm — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
eIL.ru domain — TCP active —
exec.in domain — TCP active —
exec.in domain — TCP active —
exec.in domain — TCP active —
exec.in domain — TCP active —
github.com domain — TCP active —
system.io domain — TCP inactive —
system.io domain — TCP inactive —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
dropped-by-gcleanerexeGsignedUS.filexworm