Хеш / ИнформацияЗначение
SHA256f8f86a6158a9c3f6b09fbc7ff4c927f7918ada1d92ec0d1f817702031c73d55e
MD598f592617fda0e116aba0bc467af5990
SHA13db2fae89cf94e46a891189dd46625edff70398d
ImpHash2ac0c4d3fec4c7e9ce9158815bb62c6f
Файл Adifile
Тип файлаexe
Размер8,129,904 bytes
Первое обнаружение2026-05-09

Tehdit Значениеlendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

Обнаруженные возможности

  • Uzaktan Erisim
  • Keylogging
  • Ekran Goruntüsü
  • Файл Yonetimi
  • Kabuk Erisimi

Метки MalwareBazaar

d52f85dropped-by-amadeyexexworm

Примечание к анализу

Bu ornek XWorm ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

XWorm — Профиль вредоносного ПО

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

Тип вредоносного ПО
RAT
Язык программирования
.NET C#
C2 Протокол
TCP
Целевые системы
Windows

Технические детали

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

Возможности и поведение

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Список IOC (2 индикаторов)

IOC — XWorm
# SHA256 f8f86a6158a9c3f6b09fbc7ff4c927f7918ada1d92ec0d1f817702031c73d55e # MD5 98f592617fda0e116aba0bc467af5990
ТипЗначениеПримечание
sha256 f8f86a6158a9c3f6b09fbc7ff4c927f7918ada1d92ec0d1f817702031c73d55e
md5 98f592617fda0e116aba0bc467af5990
XWorm — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
eIL.ru domain — TCP active —
exec.in domain — TCP active —
exec.in domain — TCP active —
exec.in domain — TCP active —
exec.in domain — TCP active —
github.com domain — TCP active —
system.io domain — TCP inactive —
system.io domain — TCP inactive —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
d52f85dropped-by-amadeyexexworm