NjRAT — 123123123.exe [80b4b502]

Tehdit Değerlendirmesi

Bu örnek, saldırganlara ele geçirilen sistemler üzerinde tam uzaktan kontrol imkânı sunan bir RAT (Uzaktan Erişim Trojanı) olarak tespit edilmiştir. Keylogging, ekran görüntüsü alma, dosya yönetimi ve kabuk erişimi gibi kapsamlı gözetleme yeteneklerine sahip olan bu zararlı yazılım, kimlik avı e-postaları veya sahte yazılım aracılığıyla yayılmaktadır.

Tespit Edilen Yetenekler

• Uzaktan Erişim
• Keylogging
• Ekran Görüntüsü
• Dosya Yönetimi
• Kabuk Erişimi

MalwareBazaar Etiketleri

Analiz Notu

Bu örnek NjRAT zararlı yazılım ailesine ait olduğu belirlenen ve MalwareBazaar tehdit istihbarat platformundan alınan bir örnektir. KEYDAL Güvenlik Araştırmaları ekibi tarafından metadata analizi gerçekleştirilmiş ve IOC veritabanına eklenmiştir. Yukarıdaki hash değerlerini SIEM, EDR ve güvenlik duvarı çözümlerinize ekleyerek tespit kapsamınızı genişletebilirsiniz.

NjRAT — Malware Profili

njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.

Malware Tipi

RAT

Programlama Dili

VB.NET

C2 Protokolü

TCP (varsayilan port 1177)

Hedef Sistemler

Windows

Diğer Adlar (AKA)

Bladabindi, H-Worm, houdini

Teknik Detaylar

TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera

Atıf / Tehdit Aktörü

Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.

Yetenekler ve Davranış

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC Listesi (2 gösterge)

IOC — NjRAT Kopyala

# SHA256 80b4b5028cc3eb6f3b3af322324bed2a2254987b70a3021b4c55a93fbf262e8c # MD5 c9b268f3eb95cb94ca997521df33a88c

Tür	Değer	Not
sha256	80b4b5028cc3eb6f3b3af322324bed2a2254987b70a3021b4c55a93fbf262e8c
md5	c9b268f3eb95cb94ca997521df33a88c

C2 Sunucuları (Bu aile için 8 kayıtlı sunucu)

Adres	Tür	Port	Protokol	Durum	Ülke
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.