XWorm RAT
Показател за заплахи
EnigmaSoft Threat Scorecard
EnigmaSoft Threat Scorecards са доклади за оценка на различни заплахи от зловреден софтуер, които са събрани и анализирани от нашия изследователски екип. EnigmaSoft Threat Scorecards оценява и класира заплахите, като използва няколко показателя, включително реални и потенциални рискови фактори, тенденции, честота, разпространение и устойчивост. EnigmaSoft Threat Scorecards се актуализират редовно въз основа на нашите изследователски данни и показатели и са полезни за широк кръг компютърни потребители, от крайни потребители, търсещи решения за премахване на зловреден софтуер от техните системи, до експерти по сигурността, анализиращи заплахи.
EnigmaSoft Threat Scorecards показва разнообразна полезна информация, включително:
Ранг на популярност: Класирането на дадена заплаха в базата данни със заплахи на EnigmaSoft.
Ниво на сериозност: Определеното ниво на сериозност на обект, представено числено, въз основа на нашия процес на моделиране на риска и изследване, както е обяснено в нашите критерии за оценка на заплахите .
Заразени компютри: Броят на потвърдените и предполагаеми случаи на определена заплаха, открити на заразени компютри, както се съобщава от SpyHunter.
Вижте също Критерии за оценка на заплахите .
| Класация на популярност: | 6,045 |
| Ниво на заплаха: | 80 % (Високо) |
| Заразени компютри: | 419 |
| Първо видяно: | April 24, 2023 |
| Последно видян: | November 6, 2026 |
| Засегнати операционни системи: | Windows |
Зловреден софтуер XWorm е идентифициран като заплаха от категорията троянски кон за отдалечен достъп (RAT). RATs са специално проектирани да позволяват неоторизиран достъп и контрол на компютъра на жертвата от киберпрестъпници. С използването на RAT атакуващите могат отдалечено да наблюдават и наблюдават потребителските дейности, да крадат чувствителни данни и да изпълняват широк набор от злонамерени операции върху компрометираната система, в зависимост от техните специфични цели. Според изследователите, XWorm RAT се предлага за продажба от своите разработчици на цена от $400.
Съдържание
XWorm RAT може да открадне широка гама от чувствителна информация
XWorm RAT притежава широк набор от възможности, които го правят изключително сложна и опасна заплаха в ръцете на киберпрестъпниците. Една от основните му функционалности е способността да открадне незабелязано ценна системна информация от компютъра на жертвата. RAT може да открадне чувствителни данни от популярни браузъри. XWorm може да извлича пароли, бисквитки, данни за кредитни карти, отметки, изтегляния, ключови думи и история на сърфиране от браузъри Chromium. По същия начин може да открадне пароли, бисквитки, отметки и история от браузърите на Firefox, което значително компрометира сигурността на онлайн дейностите на жертвата.
Освен това, възможностите на XWorm обхващат насочване към различни приложения и услуги. Може да открадне данни за сесии на Telegram, токени на Discord, пароли за WiFi, данни от Metamask и FileZilla. Освен това XWorm може да осъществява достъп до редактора на системния регистър, да регистрира натискания на клавиши, да стартира ransomware за криптиране на файлове и да изисква откуп и да манипулира данни, услуги и процеси в клипборда.
Освен кражба на информация, XWorm има способността да изпълнява файлове, давайки на атакуващите правомощията да стартират различни злонамерени програми и полезни товари на компрометираната система. Освен това троянският кон може да получи неоторизиран достъп до уеб камерата и микрофона на жертвата, което представлява значително нахлуване в поверителността и позволява на нападателите да наблюдават дейностите на жертвата. Обхватът на XWorm се простира още повече, тъй като може да отваря URL адреси, да изпълнява команди на обвивката и да управлява файлове, като ефективно дава на атакуващите пълен контрол над компютъра на жертвата.
Нападателите могат дори да използват XWorm, за да активират или деактивират критични системни компоненти и функции като контрол на потребителските акаунти (UAC), редактор на регистъра, диспечера на задачите, защитна стена и системни актуализации. Възможността за извикване на Синия екран на смъртта (BSoD) добавя още едно ниво на смущения и потенциални щети върху системата на жертвата.
XWorm RAT може да се използва за доставяне на Ransomware полезни товари на пробитите устройства
Една важна способност на XWorm е способността му да извършва атаки с рансъмуер. Рансъмуерът заплашва софтуер, който криптира файлове, което ги прави недостъпни без конкретен ключ за дешифриране. Впоследствие операторите на XWorm могат да поискат плащане от жертвата в замяна на предоставяне на необходимия софтуер за дешифриране, за да си възвърнат достъпа до криптираните файлове.
Освен това е наблюдавано, че XWorm се използва от киберпрестъпници за кражба на клипборда. Тази техника включва наблюдение на злонамерен софтуер и прихващане на данни, копирани в клипборда на жертвата, със специфичен фокус върху подмяната на адресите на портфейла на криптовалута. Например, ако жертва копира адрес на портфейл за Bitcoin, Ethereum или друга криптовалута, XWorm открива данните и ги заменя с адрес на портфейл, притежаван от киберпрестъпниците. Следователно жертвите несъзнателно изпращат средствата си в портфейла на хакерите вместо на адреса на предвидения получател.
Широката гама от злонамерени възможности, наблюдавани в XWorm RAT, включва и функционалност за записване на клавиатури. Keylogging включва вредния процес на тайно улавяне и запис на всички въвеждания от клавиатурата, направени от потребител на заразена система. Това означава, че паролите, идентификационните данни за влизане, чувствителните съобщения и друга лична информация се записват тайно и се предават на командния и контролен сървър на атакуващия.
Доклад за анализ
Главна информация
| Фамилия: | Keylogger.XWormRAT |
|---|---|
| Състояние на подписа: | No Signature |
Известни проби
Известни проби
Този раздел изброява други примерни файлове, за които се смята, че са свързани с това семейство.|
MD5:
8393544e67726805f0c88ccda151372c
SHA1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Размер на файла:
2.97 MB , 2971648 байта
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
SHA1:
53c9351e354d5466b49786b2b6afafee30d822ee
SHA256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Размер на файла:
11.78 KB , 11776 байта
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
SHA1:
ce89172965fe3205dc28014db093c5c19a3e1236
SHA256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Размер на файла:
55.30 KB , 55296 байта
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
SHA1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Размер на файла:
44.54 KB , 44544 байта
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
SHA1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Размер на файла:
2.07 MB , 2074112 байта
|
Show 18 more
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
SHA1:
6a2f992055737bd58e936c01c86ed965034dce57
SHA256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Размер на файла:
265.73 KB , 265728 байта
|
|
MD5:
65d0a7755d74384f5055dd3b6af0cc4d
SHA1:
4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256:
6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
Размер на файла:
11.78 KB , 11776 байта
|
|
MD5:
60631806cffc9ef3b048d4d52b06fdb5
SHA1:
ab2f4dddb861207328134ed450c90def1b15f638
SHA256:
0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
Размер на файла:
40.96 KB , 40960 байта
|
|
MD5:
7800b8cc29632ba356e56836453e84fa
SHA1:
6b6daa1115657576393bb302ad0abd590f9d7549
SHA256:
51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
Размер на файла:
2.91 MB , 2908304 байта
|
|
MD5:
8517680e669d6b3d634a7592f0af9ff4
SHA1:
b5440419d839306a35cadb26e4f1ea6e243da7f9
SHA256:
BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
Размер на файла:
60.42 KB , 60416 байта
|
|
MD5:
6352569fc1f1e4763650ec5b7b3371ff
SHA1:
7fef3755e9f9293c1c879cb2408ac8877cda7ebd
SHA256:
9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
Размер на файла:
1.44 MB , 1436545 байта
|
|
MD5:
1aed592e6a6f6747104f8f2dfdc48100
SHA1:
e80d90230e3bfa7c1ed032677e5ac137830723d6
SHA256:
F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
Размер на файла:
1.24 MB , 1244672 байта
|
|
MD5:
bdabe0c54c8dde931a5e08785b3d258f
SHA1:
004fe676d3fe98633c5cc4a12668a554a4f316b0
SHA256:
164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
Размер на файла:
2.07 MB , 2067456 байта
|
|
MD5:
b1a07aae097a8481ee3c61392ac8bce1
SHA1:
f3361d200b7469bcd5082e3f0c71c51a6fb44273
SHA256:
9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
Размер на файла:
2.71 MB , 2706944 байта
|
|
MD5:
09fc5f8cc8c466649bc5c88e4f204d05
SHA1:
745a6634ca8c388474200d4fda85499ea39f5b7c
SHA256:
FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
Размер на файла:
36.35 KB , 36352 байта
|
|
MD5:
346bbb4260171d4488640eaa17a42d69
SHA1:
165553fcb9f8c39dd9308f0c84928443f006610a
SHA256:
239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
Размер на файла:
2.76 MB , 2755072 байта
|
|
MD5:
16fa945e7f8916993e14899fc15bc570
SHA1:
8d0e181866a6e46e60de1c525bcb6cf37606fc90
SHA256:
E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
Размер на файла:
1.44 MB , 1441072 байта
|
|
MD5:
db3012484135ac6e57c403cd5a313628
SHA1:
bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
SHA256:
D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
Размер на файла:
2.83 MB , 2826240 байта
|
|
MD5:
335eecbd15076a753aef8e5351d6456d
SHA1:
be9f1b5e7deb420be48fc1662e875a45f758e4d5
SHA256:
906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
Размер на файла:
2.79 MB , 2792960 байта
|
|
MD5:
92289f257bee2b88608966ef3766a56b
SHA1:
fade887fc0a449b08f90febd81e40efa3e464f67
SHA256:
9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
Размер на файла:
264.70 KB , 264704 байта
|
|
MD5:
eb8058e2448712e4d0cd7ac1f774d509
SHA1:
51e551aa4c96c274eb9dae243c9b2feb9899b7dd
SHA256:
A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
Размер на файла:
67.07 KB , 67072 байта
|
|
MD5:
2bc7095ba09bb4dd46fe5753971e72da
SHA1:
b9823c2097ee09cdca5f697a022f5d2d4f832cff
SHA256:
5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
Размер на файла:
68.10 KB , 68096 байта
|
|
MD5:
9e389b1bb9cd763e730a537fc4090a36
SHA1:
1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
SHA256:
25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
Размер на файла:
40.96 KB , 40960 байта
|
Атрибути на преносим изпълним файл на Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Икони на файлове
Икони на файлове
Този раздел показва ресурси с икони, намерени в примерни семейства. Зловредният софтуер често копира икони, обикновено свързани с легитимен софтуер, за да подведе потребителите и да ги накара да повярват, че зловредният софтуер е безопасен.
Информация за версията на Windows PE
Информация за версията на Windows PE
Този раздел показва стойности и атрибути, които са зададени в структурата данни за информация за версията на файловете на Windows за примери в рамките на това семейство. За да подведат потребителите, злонамерените програми често добавят фалшива информация за версията, имитираща легитимен софтуер.| Име | Стойност |
|---|---|
| Assembly Version |
|
| Comments |
|
| Company Name |
|
| File Description |
Show 2 more
|
| File Version |
|
| Internal Name |
Show 11 more
|
| Legal Copyright |
|
| Legal Trademarks | Trademarks (R) 2017 Captain Sim |
| Original Filename |
Show 11 more
|
| Product Name |
Show 4 more
|
| Product Version |
|
Цифрови подписи
Цифрови подписи
Този раздел изброява цифровите подписи, които са прикачени към образци в рамките на това семейство. При анализа и проверката на цифрови подписи е важно да се потвърди, че коренният авторитет на подписа е добре познат и надежден обект и че състоянието на подписа е добро. Зловредният софтуер често се подписва с ненадеждни „самоподписани“ цифрови подписи (които могат лесно да бъдат създадени от автор на зловреден софтуер без проверка). Зловредният софтуер може да бъде подписан и от легитимни подписи с невалиден статус, както и от подписи от съмнителни коренни авторитети с фалшиви или подвеждащи имена на „подписващи“.| Подписващ | Корен | Статус |
|---|---|---|
| UnlockClient.co | UnlockClient.co | Self Signed |
Характеристики на файла
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show 1 more
- x86
Информация за блока
Информация за блока
По време на анализа, EnigmaSoft разделя файловите проби на логически блокове за класификация и сравнение с други проби. Блоковете могат да се използват за генериране на правила за откриване на зловреден софтуер и за групиране на файлови проби в семейства въз основа на споделен изходен код, функционалност и други отличителни атрибути и характеристики. Този раздел изброява обобщение на данните за тези блокове, както и тяхната класификация от EnigmaSoft. Показва се и визуално представяне на данните за блоковете, където е налично.| Общо блокове: | 92 |
|---|---|
| Потенциално злонамерени блокове: | 0 |
| Блокове в белия списък: | 69 |
| Неизвестни блокове: | 23 |
Визуална карта
? - Неизвестен блок
x - Потенциално злонамерен блок
Подобни семейства
Подобни семейства
Този раздел изброява други семейства, които споделят сходства с това семейство, въз основа на анализа на EnigmaSoft. Много семейства злонамерен софтуер са създадени от едни и същи инструменти за злонамерен софтуер и използват едни и същи техники за пакетиране и криптиране, но уникално разширяват функционалността си. Подобни семейства могат също да споделят изходен код, атрибути, икони, подкомпоненти, компрометирани и/или невалидни цифрови подписи и мрежови характеристики. Изследователите използват тези сходства, за да сортират бързо и ефективно файлови проби и да разширят правилата за откриване на злонамерен софтуер.- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.LD
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
Show 4 more
- MSIL.Krypt.UJB
- MSIL.Kryptik.AR
- MSIL.Kryptik.UJA
- MSIL.Rozena.GG
Променени файлове
Променени файлове
Този раздел изброява файлове, които са били създадени, модифицирани, преместени и/или изтрити от примери в това семейство. Активността на файловата система може да предостави ценна информация за това как зловредният софтуер функционира в операционната система.| Файл | Атрибути |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\sirdur.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\chromeupdate.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\svchost.exe | Generic Write,Read Attributes |
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
Промени в системния регистър
Промени в системния регистър
Този раздел изброява ключовете и стойностите в системния регистър, които са били създадени, променени и/или изтрити от примери в това семейство. Активността в системния регистър на Windows може да предостави ценна информация за функционалността на зловредния софтуер. Освен това, зловредният софтуер често създава стойности в системния регистър, за да може да се стартира автоматично и да съществува за неопределено време, след като първоначалната инфекция е компрометирала системата.| Ключ::Стойност | Данни | Име на API |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show 4 more
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Използване на Windows API
Използване на Windows API
Този раздел изброява извикванията на Windows API, които се използват от примерите в това семейство. Анализът на използването на Windows API е ценен инструмент, който може да помогне за идентифициране на злонамерена дейност, като например записване на клавиши, ескалация на привилегиите за сигурност, криптиране на данни, изтичане на данни, смущения в антивирусния софтуер и манипулиране на мрежови заявки.| Категория | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show 90 more
8 допълнителни елементи не са показани по-горе. |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|