Manuel Statik Analiz — XWorm | Tehdit: YUKSEK
Dosya Kimliği
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Dosya Adı | Contract.exe (iş sözleşmesi lürü!) |
| Boyut | 728.576 byte (711KB) |
| String Sayisi | 3.505 |
Contract.exe: İş Sözleşmesi Lürü
Contract.exe -- "Contract" = iş sözleşmesi/kontrat belgesi taklidi -- Hedef: İK departmanları, hukuk ekipleri, satın alma -- "Contract.exe" + fatura gibi e-posta eki → tıklanır -- XWorm: geniş kurumsal hedef kitlesi
RecargarPanels: İspanyolca Builder UI
GELİŞTİRİCİ İZİ: İspanyolca arayüz!
RecargarPanels -- "Recargar" = İspanyolca: "yeniden yükle/doldur" -- "Panels" = panel'lar (İngilizce karışımı) -- XWorm builder UI'nın İspanyolca yerelleştirmesi! -- Geliştirici veya builder paneli İspanyolca -- Karşılaştır: QuasarRAT İngilizce, DCRat Rusça → XWorm İspanyolca UI! panelActions -- panel eylem konteyneri
Aggregate Modül Tipi
Aggregate Panel -- XWorm modüler mimari: "Aggregate" = birleştirici modül tipi -- Plugin toplama ve yükleme mekanizması -- NanoCore GetConfig/SetConfig'e benzer plugin sistemi
IOC
| SHA256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Lure | Contract.exe (iş sözleşmesi) |
| UI | RecargarPanels (İspanyolca) |
XWorm — Malware Profile
XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.
Malware Type
RAT
Programming Language
.NET C#
C2 Protocol
TCP
Target Systems
Windows
Technical Details
C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu
Capabilities & Behavior
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC List (1 indicators)
IOC — XWorm
# SHA256
7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0
| Type | Value | Note |
|---|---|---|
| sha256 | 7776706d26fb2dfd728576b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
C2 Servers (8 recorded servers for this family)
| Address | Type | Port | Protocol | Status | Country |
|---|---|---|---|---|---|
| system.io | domain | — | TCP | active | — |
| eIL.ru | domain | — | TCP | active | — |
| exec.in | domain | — | TCP | active | — |
| system.io | domain | — | TCP | active | — |
| system.io | domain | — | TCP | active | — |
| system.io | domain | — | TCP | active | — |
| system.io | domain | — | TCP | active | — |
| system.io | domain | — | TCP | active | — |
C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.