Manuel Statik Analiz (LLM Okumali) — XWorm VBS Dropper | Tehdit: YUKSEK
Dosya Kimligi
| SHA256 | 46d8d1dd3b83b11757d8fe2a2ca674d0085bf18964f6082c8b0bcef33cac3e1d |
|---|---|
| Yem Adi | FORMULARIO BANCARIO.vbs (Brezilya banka formu yemi) |
| Boyut | 2.589.167 byte (2.5MB VBS) |
| String Sayisi | 26.635 (bos karakterlerle sisman VBS) |
Sosyal Muhendislik: Brezilya Banka Yemi
"FORMULARIO BANCARIO" — "Banka Formu" anlaminа gelir (Portekizce). Brezilya'daki kullanicilari hedefleyen bir spear-phishing VBS dropper'i.
VBS Kod Analizi
VBS dosyasindaki kritik fonksiyonlar ve degiskenler:
VBS kod yapisi:
Set agalactosisooo = CreateObject("Scripting.FileSystemObject")
Set photopolymer = CreateObject("WScript.Shell") -- Shell objesi
impending = WScript.ScriptFullName -- Kendi yolu
cabble = photopolymer.SpecialFolders("Startup") -- Startup klasoru
Kalicilik komutu (PowerShell ile):
powershell -nop -w hidden -c Copy-Item -LiteralPath '{kendi_yolu}'
-Destination '{startup_klasoru}' -Force
Obfuske edilmis fonksiyon isimleri:
Function dimerization(...)
Function unharnessing(...)
-- Tum degisken ve fonksiyon isimleri uzun rastgele kelimelerden olusur
Kalicilik Mekanizmasi
- VBS kendini Startup klasorune kopyalar (PowerShell ile)
-nop -w hiddenparametreleri ile gizli PowerShell process'i olusturur- Sistem her yeniden baslatildiginda otomatik olarak calisir
IOC
| SHA256 | 46d8d1dd3b83b11757d8fe2a2ca674d0085bf18964f6082c8b0bcef33cac3e1d |
|---|---|
| Yem | FORMULARIO BANCARIO.vbs |
| Kalicilik | Startup klasoru (PowerShell Copy-Item) |
| Hedef | Brezilya banka musterileri |
XWorm — Malware Profili
XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.
Malware Tipi
RAT
Programlama Dili
.NET C#
C2 Protokolü
TCP
Hedef Sistemler
Windows
Teknik Detaylar
C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu
Yetenekler ve Davranış
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC Listesi (1 gösterge)
IOC — XWorm
# SHA256
46d8d1dd3b83b11757d8fe2a2ca674d0085bf18964f6082c8b0bcef33cac3e1d
| Tür | Değer | Not |
|---|---|---|
| sha256 | 46d8d1dd3b83b11757d8fe2a2ca674d0085bf18964f6082c8b0bcef33cac3e1d |
C2 Sunucuları (Bu aile için 8 kayıtlı sunucu)
| Adres | Tür | Port | Protokol | Durum | Ülke |
|---|---|---|---|---|---|
| eIL.ru | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| github.com | domain | — | TCP | active | — |
| system.io | domain | — | TCP | inactive | — |
| system.io | domain | — | TCP | inactive | — |
C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.