NjRAT — 6351577adc7052cc74c414372305602d829c52dcacce43562021248606272c59.exe [6351577a]

Statik Analiz — NjRAT | YÜKSEK | CVSS: 7.5

Dosya

SHA256	`6351577adc7052cc74c414372305602d829c52dcacce43562021248606272c59`
MD5	`4cc1d10588816b3c331878e79d55d694`
Dosya	6351577adc7052cc74c414372305602d829c52dcacce43562021248606272c59.exe
Boyut	501,090 byte
Tür	PE32 executable for MS Windows 5.01 (GUI), Intel i386, 6 sections
Stringler	1,361

PDB: D:\Projects\WinRAR\sfx\build\sfxrar32\Release\sfxrar.pdb

Bölümler

Ad	Entropi
`.text`	6.71
`.rdata`	5.22
`.data`	3.71
`.didat`	3.3
`.rsrc`	6.8
`.reloc`	6.55

Import Tablosu

KERNEL32.dll
gdiplus.dll

IOC

SHA256	`6351577adc7052cc74c414372305602d829c52dcacce43562021248606272c59`
MD5	`4cc1d10588816b3c331878e79d55d694`
IP	`1.0.0.0`, `6.0.0.0`
Domain	`microsoft.com`
PDB	`D:\Projects\WinRAR\sfx\build\sfxrar32\Release\sfxrar.pdb`
C2	`microsoft.com`

NjRAT — Malware Profili

njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.

Malware Tipi

RAT

Programlama Dili

VB.NET

C2 Protokolü

TCP (varsayilan port 1177)

Hedef Sistemler

Windows

Diğer Adlar (AKA)

Bladabindi, H-Worm, houdini

Teknik Detaylar

TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera

Atıf / Tehdit Aktörü

Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.

Yetenekler ve Davranış

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC Listesi (4 gösterge)

IOC — NjRAT

# IP
1.0.0.0 

# IP
6.0.0.0 

# DOMAIN
microsoft.com 

# FILEPATH
D:\Projects\WinRAR\sfx\build\sfxrar32\Release\sfxrar.pdb

Tür	Değer	Not
ip	1.0.0.0	C2 aday
ip	6.0.0.0	C2 aday
domain	microsoft.com	C2 domain
filepath	D:\Projects\WinRAR\sfx\build\sfxrar32\Release\sfxrar.pdb	PDB

NjRAT — Tam Profiline Git →

C2 Sunucuları (Bu aile için 8 kayıtlı sunucu)

Adres	Tür	Port	Protokol	Durum	Ülke
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.

Etiketler

NjRATmalwarestatik-analizIOC