NanoCore RAT 1.x - HP Jetstar Yazici Kiligi, C2 Port 8918, AES Sifrelenmis Config | Kritik

Manuel Statik Analiz (LLM Okumali) — NanoCore RAT 1.x | Tehdit: CRITICAL

Dosya Kimligi

SHA256	`13bab9f76e7c622ab1451b2e7eb9d48db4b4ed60f1a86e601aafbaaa4fa38b98`
Orijinal Ad	Scan#250226HPJetstar.exe
Boyut	1.075.200 byte (~1.07 MB)
PE Tipi	PE32 (x86) — .NET Framework assembly
MD5	8b3d948676c373b378f16f6095f7fe5b
Sosyal Muhendislik	HP Jetstar yazici tonu bildirimi — Kurumsal BT/ofis personeli hedefi

C2 Altyapisi

C2 Port: 8918 — Binary blob icerisinde cleartext olarak tespit edildi. NanoCore konfigurasyonu AES ile sifrelenmis embedded resource icinde bulundugundan C2 host adresi statik analizle elde edilemedi; sandbox/dinamik analiz gerektirir.

C2 Port	8918/TCP (binary'den cleartext cikartiildi, yuksek guven)
C2 Host	AES sifrelenmis NanoCore.Client.Settings kaynak blogu icerisinde
Protokol	TCP (NanoCore ozel protokol)

Sosyal Muhendislik Analizi

Dosya adi Scan#250226HPJetstar.exe — HP marka Jetstar yazici tonu bildirimi kiligi. Kurumsal ofis ortamlarinda calisan hedefler, HP yazicisinden gelen tarama belgesi oldugunu zannederek calistirir. 2025 Subat tarihli numara eklenmesi (250226) gercekciligi artirmak icin kullanilmistir. Havayolu/seyahat sektoru ile yazici yoneticisi hedefleme kombinasyonu ozgun bir sosyal muhendislik vektoru teskil etmektedir.

Teknik Analiz

String Sayisi	12.519 satir (strings -a -n 4 + UTF-16)
Sifreleme	NanoCore.Client.Settings: AES ile sifrelenmis embedded resource
C2 Port	8918 (binary veride acik metin)

NanoCore RAT Yetenekleri (Genel)

Uzaktan kabuk (cmd.exe/PowerShell)
Dosya yoneticisi: yukleme, indirme, silme, olusturma
Keylogger: tus kaydi + aktif pencere izleme
Ekran goru ntuleri (gercek zamanli)
Kamera erisimi
Proses yoneticisi: listeleme + sonlandirma
Plugin sistemi: modul yuklenebilir mimari
Port yonlendirme / uzak masaustu proxy
Clipboard hirsizligi
Parola kurtarma (tarayici + FTP istemcileri)
Script calistirma (VBScript, PowerShell)

NanoCore Konfigurasyonu (Sifrelenmis)

NanoCore 1.x ailesi konfigurasyonunu NanoCore.Client.Settings adi verilen embedded .NET kaynaginda AES-256/128 ile sifrelenmis sekilde saklar. Bu sekilde: Build ID, C2 Host, C2 Port, Reconnect Delay, KeyLogger aktiflik durumu, Mutex, grup adi gibi parametreler statik analize karsi korunur.

Bu sampledaki C2 portunun 8918 olmasi (varsayilan 4782'den farkli), operator tarafindan ozellestirilmis bir NanoCore yapilandirmasi oldugunu gostermektedir.

IOC'lar

SHA256	`13bab9f76e7c622ab1451b2e7eb9d48db4b4ed60f1a86e601aafbaaa4fa38b98`
MD5	8b3d948676c373b378f16f6095f7fe5b
Dosya Adi	Scan#250226HPJetstar.exe (yazici sosyal muhendislik)
C2 Port	8918/TCP (NanoCore)

Nasil Kaldirilir?

Ag engeli: Port 8918/TCP giden baglantilari guvenlik duvarindan kapat
Process sonlandirma: .NET runtime altinda calisan suphelik islemi sonlandir
Registry: HKCU\Software\Microsoft\Windows\CurrentVersion\Run altinda suphelik kaydı sil
Dosya sil: AppData altindaki NanoCore agent dosyasini bul ve sil
Uygulama loglarini kontrol et: NanoCore ozel port 8918 uzerinden giden baglantilari izle
Tam AV tarama: Guncel imzali antivirus ile tarama yap

Teknik Ozet

NanoCore RAT 1.x — HP Jetstar yazici tonu sosyal muhendisligi kullanarak dagitilan, kurumsal BT/ofis personeIini hedef alan .NET tabanli uzaktan erisim trojanı. C2 portu 8918/TCP (varsayilan 4782'den farkli — operator ozellestirilmis yapilan dirma) binary icinde cleartext saptanmistir. Konfigurasyonun tamami (C2 host, mutex, Build ID, grup) AES sifrelenmis NanoCore.Client.Settings embedded kaynaginda saklandigi icin statik analizle tam IOC listesi olusturulamlmistir. Dinamik analiz veya NanoCore config decryptor gerektirmektedir.

NanoCore — Malware Profile

NanoCore RAT .NET. HP scanner lures. FqStwIZtCP PDB path recurring. Plugin: GetConfig/SetConfig/conjugatePair.

Malware Type

RAT

Programming Language

.NET

C2 Protocol

TCP

Target Systems

Windows

Technical Details

.NET, plugin tabanli (DLL eklentiler), AES-128 sifreleme, port TCP dinamik, Mutex rastgele GUID, GetAsyncKeyState keylogger, Clipboard monitor, Remote Shell (cmd.exe), Hidden VNC, Password Recovery

Capabilities & Behavior

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC List (4 indicators)

IOC — NanoCore

# 
8918

# 
Scan#250226HPJetstar.exe

# SHA256
13bab9f76e7c622ab1451b2e7eb9d48db4b4ed60f1a86e601aafbaaa4fa38b98

# MD5
8b3d948676c373b378f16f6095f7fe5b

Type	Value	Note
	8918
	Scan#250226HPJetstar.exe
sha256	13bab9f76e7c622ab1451b2e7eb9d48db4b4ed60f1a86e601aafbaaa4fa38b98
md5	8b3d948676c373b378f16f6095f7fe5b

NanoCore — Go to Full Profile →

C2 Servers (4 recorded servers for this family)

Address	Type	Port	Protocol	Status	Country
pk68.io	domain	443	HTTPS	active	—
195.3.221.139	ip	4782	TCP	inactive	RO
UNKNOWN_HOST	unknown	8918	TCP	inactive	—
37.140.192.146	ip	7707	TCP	sinkholed	UA

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.