Manuel Statik Analiz — XWorm | Tehdit: YUKSEK
Dosya Kimliği
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Dosya Adı | Contract.exe (iş sözleşmesi lürü!) |
| Boyut | 728.576 byte (711KB) |
| String Sayisi | 3.505 |
Contract.exe: İş Sözleşmesi Lürü
Contract.exe -- "Contract" = iş sözleşmesi/kontrat belgesi taklidi -- Hedef: İK departmanları, hukuk ekipleri, satın alma -- "Contract.exe" + fatura gibi e-posta eki → tıklanır -- XWorm: geniş kurumsal hedef kitlesi
RecargarPanels: İspanyolca Builder UI
GELİŞTİRİCİ İZİ: İspanyolca arayüz!
RecargarPanels -- "Recargar" = İspanyolca: "yeniden yükle/doldur" -- "Panels" = panel'lar (İngilizce karışımı) -- XWorm builder UI'nın İspanyolca yerelleştirmesi! -- Geliştirici veya builder paneli İspanyolca -- Karşılaştır: QuasarRAT İngilizce, DCRat Rusça → XWorm İspanyolca UI! panelActions -- panel eylem konteyneri
Aggregate Modül Tipi
Aggregate Panel -- XWorm modüler mimari: "Aggregate" = birleştirici modül tipi -- Plugin toplama ve yükleme mekanizması -- NanoCore GetConfig/SetConfig'e benzer plugin sistemi
IOC
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Lure | Contract.exe (iş sözleşmesi) |
| UI | RecargarPanels (İspanyolca) |
XWorm — Malware Profili
XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.
Malware Tipi
RAT
Programlama Dili
.NET C#
C2 Protokolü
TCP
Hedef Sistemler
Windows
Teknik Detaylar
C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu
Yetenekler ve Davranış
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC Listesi (1 gösterge)
IOC — XWorm
# SHA256
7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0
| Tür | Değer | Not |
|---|---|---|
| sha256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
C2 Sunucuları (Bu aile için 8 kayıtlı sunucu)
| Adres | Tür | Port | Protokol | Durum | Ülke |
|---|---|---|---|---|---|
| eIL.ru | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| github.com | domain | — | TCP | active | — |
| system.io | domain | — | TCP | inactive | — |
| system.io | domain | — | TCP | inactive | — |
C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.