Manuel Statik Analiz — Gh0stRAT | Tehdit: ORTA
Dosya Kimliği
| SHA256 | f755d085c61879c18263688b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Dosya Adı | 无常订制QQ语音神器.exe |
| Boyut | 826.368 byte (826KB) |
| String Sayisi | 3.877 |
Çince QQ Ses Uygulaması Lure
无常订制QQ语音神器.exe -- 无常 (Wúcháng) = "geçici" veya efsanevi Ölüm Tanrısı (无常鬼) -- 订制 (dìngzhì) = özel sipariş / kişiselleştirilmiş -- QQ = Tencent QQ anlık mesajlaşma (Çin'in en büyük messenger'ı) -- 语音 (yǔyīn) = ses/voice -- 神器 (shénqì) = sihirli alet / güçlü araç (internet slangi: "süper araç") -- Çince: "Wuchang özel QQ ses süper aracı" -- QQ premium özellik aracı kisvesiyle Çinli kullanıcılar hedef
Gh0stRAT Hakkında
Gh0stRAT, 2008'de "C.Rufus Security Team" tarafından geliştirilen ve kaynak kodu sızan Çin menşeli RAT'tır. Magic header: 5 byte özel başlık + sıkıştırılmış payload. Çin APT grupları (APT1, APT10, APT41) ve suçlular tarafından kullanıldı. Keylogger, ekran görüntüsü, webcam, uzaktan kabuk.
IOC
| SHA256 | f755d085c61879c18263688b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Lure | 无常订制QQ语音神器.exe (Çince QQ ses aracı) |
Gh0stRAT — Malware Profili
Gh0stRAT C.Rufus Security Team 2008 Cin. QQ語音神器 Cinli kullanici lure. Magic header 5 byte. APT1/APT10/APT41.
Malware Tipi
RAT
Programlama Dili
C++
C2 Protokolü
TCP
Hedef Sistemler
Windows
Diğer Adlar (AKA)
Ghost RAT
Teknik Detaylar
C++, ozel binary protokol, TCP port 2008/2009/443 (varyanta gore), anti-debug, keylogger, screen capture, process killer, file manager, remote shell
Atıf / Tehdit Aktörü
Cin kokenli; bazi APT gruplari (APT10, APT40, Mustang Panda) tarafindan kullanilmaktadir. Kaynak kodu yayilmisindan bu yana global kullanim yayginlasmistir.
Yetenekler ve Davranış
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC Listesi (1 gösterge)
IOC — Gh0stRAT
# SHA256
f755d085c61879c18263688b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
| Tür | Değer | Not |
|---|---|---|
| sha256 | f755d085c61879c18263688b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 | len=63 |