Manuel Statik Analiz — XWorm | Tehdit: YUKSEK
Файл Kimliği
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Имя файла | Contract.exe (iş sözleşmesi lürü!) |
| Размер | 728.576 byte (711KB) |
| String Sayisi | 3.505 |
Contract.exe: İş Sözleşmesi Lürü
Contract.exe -- "Contract" = iş sözleşmesi/kontrat belgesi taklidi -- Hedef: İK departmanları, hukuk ekipleri, satın alma -- "Contract.exe" + fatura gibi e-posta eki → tıklanır -- XWorm: geniş kurumsal hedef kitlesi
RecargarPanels: İspanyolca Builder UI
GELİŞTİRİCİ İZİ: İspanyolca arayüz!
RecargarPanels -- "Recargar" = İspanyolca: "yeniden yükle/doldur" -- "Panels" = panel'lar (İngilizce karışımı) -- XWorm builder UI'nın İspanyolca yerelleştirmesi! -- Geliştirici veya builder paneli İspanyolca -- Karşılaştır: QuasarRAT İngilizce, DCRat Rusça → XWorm İspanyolca UI! panelActions -- panel eylem konteyneri
Aggregate Modül Tipi
Aggregate Panel -- XWorm modüler mimari: "Aggregate" = birleştirici modül tipi -- Plugin toplama ve yükleme mekanizması -- NanoCore GetConfig/SetConfig'e benzer plugin sistemi
IOC
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Lure | Contract.exe (iş sözleşmesi) |
| UI | RecargarPanels (İspanyolca) |
XWorm — Профиль вредоносного ПО
XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.
Тип вредоносного ПО
RAT
Язык программирования
.NET C#
C2 Протокол
TCP
Целевые системы
Windows
Технические детали
C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu
Возможности и поведение
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Список IOC (1 индикаторов)
IOC — XWorm
# SHA256
7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0
| Тип | Значение | Примечание |
|---|---|---|
| sha256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
C2 Серверы (8 зарегистрированных серверов для этого семейства)
| Адрес | Тип | Порт | Протокол | Статус | Страна |
|---|---|---|---|---|---|
| eIL.ru | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| github.com | domain | — | TCP | active | — |
| system.io | domain | — | TCP | inactive | — |
| system.io | domain | — | TCP | inactive | — |
Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.