XWorm RAT
Kad Skor Ancaman
Kad Skor Ancaman EnigmaSoft
Kad Skor Ancaman EnigmaSoft ialah laporan penilaian untuk ancaman perisian hasad yang berbeza yang telah dikumpulkan dan dianalisis oleh pasukan penyelidik kami. Kad Skor Ancaman EnigmaSoft menilai dan menilai ancaman menggunakan beberapa metrik termasuk faktor risiko dunia sebenar dan potensi, arah aliran, kekerapan, kelaziman dan kegigihan. Kad Skor Ancaman EnigmaSoft dikemas kini secara berkala berdasarkan data dan metrik penyelidikan kami dan berguna untuk pelbagai pengguna komputer, daripada pengguna akhir yang mencari penyelesaian untuk mengalih keluar perisian hasad daripada sistem mereka kepada pakar keselamatan yang menganalisis ancaman.
Kad Skor Ancaman EnigmaSoft memaparkan pelbagai maklumat berguna, termasuk:
Kedudukan Populariti: Kedudukan ancaman tertentu dalam Pangkalan Data Ancaman EnigmaSoft.
Tahap Keterukan: Tahap keterukan objek yang ditentukan, diwakili secara berangka, berdasarkan proses dan penyelidikan pemodelan risiko kami, seperti yang dijelaskan dalam Kriteria Penilaian Ancaman kami.
Komputer yang Dijangkiti: Bilangan kes yang disahkan dan disyaki bagi ancaman tertentu yang dikesan pada komputer yang dijangkiti seperti yang dilaporkan oleh SpyHunter.
Lihat juga Kriteria Penilaian Ancaman .
| Kedudukan Populariti: | 6,045 |
| Tahap Ancaman: | 80 % (tinggi) |
| Komputer yang Dijangkiti: | 419 |
| Pertama Dilihat: | April 24, 2023 |
| Kali terakhir dilihat: | November 6, 2026 |
| OS (es) Terjejas: | Windows |
Malware XWorm dikenal pasti sebagai ancaman daripada kategori Trojan Akses Jauh (RAT). RAT direka khusus untuk membolehkan capaian dan kawalan yang tidak dibenarkan terhadap komputer mangsa oleh penjenayah siber. Dengan penggunaan RAT, penyerang boleh memantau dan memerhati aktiviti pengguna dari jauh, mencuri data sensitif dan melaksanakan pelbagai operasi berniat jahat pada sistem yang terjejas, bergantung pada matlamat khusus mereka. Menurut penyelidik, XWorm RAT ditawarkan untuk dijual oleh pemajunya pada harga $400.
Isi kandungan
XWorm RAT Boleh Mencuri Pelbagai Maklumat Sensitif
XWorm RAT mempunyai pelbagai keupayaan yang menjadikannya ancaman yang sangat canggih dan berbahaya di tangan penjenayah siber. Salah satu fungsi utamanya ialah keupayaan untuk mencuri maklumat sistem yang berharga daripada komputer mangsa secara senyap. RAT boleh mencuri data sensitif daripada pelayar popular. XWorm boleh mengekstrak kata laluan, kuki, butiran kad kredit, penanda halaman, muat turun, kata kunci dan sejarah penyemakan imbas daripada penyemak imbas Chromium. Begitu juga, ia boleh mencuri kata laluan, kuki, penanda halaman, dan sejarah daripada pelayar Firefox, sangat menjejaskan keselamatan aktiviti dalam talian mangsa.
Selain itu, keupayaan XWorm merangkumi penyasaran pelbagai aplikasi dan perkhidmatan. Ia boleh mencuri data sesi Telegram, token Discord, kata laluan WiFi, data Metamask dan FileZilla. Selain itu, XWorm boleh mengakses Editor Registry, log ketukan kekunci, menjalankan perisian tebusan untuk menyulitkan fail dan menuntut wang tebusan, dan memanipulasi data papan keratan, perkhidmatan dan proses.
Di luar pencurian maklumat, XWorm mempunyai keupayaan untuk melaksanakan fail, memberikan penyerang kuasa untuk menjalankan pelbagai program berniat jahat dan muatan pada sistem yang terjejas. Selain itu, Trojan boleh mendapatkan akses tanpa kebenaran kepada kamera web dan mikrofon mangsa, menimbulkan pencerobohan privasi yang ketara dan membenarkan penyerang memantau aktiviti mangsa. Jangkauan XWorm lebih jauh lagi kerana ia boleh membuka URL, melaksanakan perintah shell dan mengurus fail, dengan berkesan memberikan penyerang kawalan sepenuhnya ke atas komputer mangsa.
Penyerang juga boleh menggunakan XWorm untuk mendayakan atau melumpuhkan komponen dan ciri sistem kritikal seperti Kawalan Akaun Pengguna (UAC), Editor Pendaftaran, Pengurus Tugas, Firewall dan kemas kini sistem. Keupayaan untuk menggunakan Skrin Biru Kematian (BSoD) menambah satu lagi lapisan gangguan dan kemungkinan kerosakan pada sistem mangsa.
XWorm RAT Boleh Digunakan untuk Menghantar Muatan Ransomware pada Peranti yang Dilanggar
Satu keupayaan penting XWorm ialah keupayaannya untuk melakukan serangan ransomware. Ransomware mengancam perisian yang menyulitkan fail, menjadikannya tidak boleh diakses tanpa kunci penyahsulitan tertentu. Selepas itu, pengendali XWorm boleh menuntut bayaran daripada mangsa sebagai pertukaran untuk menyediakan perisian penyahsulitan yang diperlukan untuk mendapatkan semula akses kepada fail yang disulitkan.
Di samping itu, XWorm telah diperhatikan digunakan oleh penjenayah siber untuk rampasan papan keratan. Teknik ini melibatkan pemantauan perisian hasad dan memintas data yang disalin ke papan keratan mangsa, dengan tumpuan khusus untuk menggantikan alamat dompet mata wang kripto. Sebagai contoh, jika mangsa menyalin alamat dompet Bitcoin, Ethereum atau cryptocurrency lain, XWorm mengesan data dan menggantikannya dengan alamat dompet yang dimiliki oleh penjenayah siber. Akibatnya, mangsa tanpa disedari menghantar dana mereka ke dompet penggodam dan bukannya alamat penerima yang dimaksudkan.
Rangkaian luas keupayaan berniat jahat yang diperhatikan dalam XWorm RAT juga termasuk fungsi pengelogan kunci. Pengelogan kunci melibatkan proses berbahaya menangkap dan merakam semua input papan kekunci secara rahsia yang dibuat oleh pengguna pada sistem yang dijangkiti. Ini bermakna kata laluan, bukti kelayakan log masuk, mesej sensitif dan maklumat peribadi lain direkodkan secara rahsia dan dihantar ke pelayan Perintah dan Kawalan penyerang.
Laporan Analisis
Maklumat am
| Nama Keluarga: | Keylogger.XWormRAT |
|---|---|
| Status tandatangan: | No Signature |
Sampel yang Diketahui
Sampel yang Diketahui
Bahagian ini menyenaraikan sampel fail lain yang dipercayai berkaitan dengan keluarga ini.|
MD5:
8393544e67726805f0c88ccda151372c
SHA1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Saiz fail:
2.97 MB , 2971648 bait
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
SHA1:
53c9351e354d5466b49786b2b6afafee30d822ee
SHA256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Saiz fail:
11.78 KB , 11776 bait
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
SHA1:
ce89172965fe3205dc28014db093c5c19a3e1236
SHA256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Saiz fail:
55.30 KB , 55296 bait
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
SHA1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Saiz fail:
44.54 KB , 44544 bait
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
SHA1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Saiz fail:
2.07 MB , 2074112 bait
|
Show 18 more
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
SHA1:
6a2f992055737bd58e936c01c86ed965034dce57
SHA256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Saiz fail:
265.73 KB , 265728 bait
|
|
MD5:
65d0a7755d74384f5055dd3b6af0cc4d
SHA1:
4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256:
6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
Saiz fail:
11.78 KB , 11776 bait
|
|
MD5:
60631806cffc9ef3b048d4d52b06fdb5
SHA1:
ab2f4dddb861207328134ed450c90def1b15f638
SHA256:
0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
Saiz fail:
40.96 KB , 40960 bait
|
|
MD5:
7800b8cc29632ba356e56836453e84fa
SHA1:
6b6daa1115657576393bb302ad0abd590f9d7549
SHA256:
51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
Saiz fail:
2.91 MB , 2908304 bait
|
|
MD5:
8517680e669d6b3d634a7592f0af9ff4
SHA1:
b5440419d839306a35cadb26e4f1ea6e243da7f9
SHA256:
BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
Saiz fail:
60.42 KB , 60416 bait
|
|
MD5:
6352569fc1f1e4763650ec5b7b3371ff
SHA1:
7fef3755e9f9293c1c879cb2408ac8877cda7ebd
SHA256:
9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
Saiz fail:
1.44 MB , 1436545 bait
|
|
MD5:
1aed592e6a6f6747104f8f2dfdc48100
SHA1:
e80d90230e3bfa7c1ed032677e5ac137830723d6
SHA256:
F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
Saiz fail:
1.24 MB , 1244672 bait
|
|
MD5:
bdabe0c54c8dde931a5e08785b3d258f
SHA1:
004fe676d3fe98633c5cc4a12668a554a4f316b0
SHA256:
164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
Saiz fail:
2.07 MB , 2067456 bait
|
|
MD5:
b1a07aae097a8481ee3c61392ac8bce1
SHA1:
f3361d200b7469bcd5082e3f0c71c51a6fb44273
SHA256:
9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
Saiz fail:
2.71 MB , 2706944 bait
|
|
MD5:
09fc5f8cc8c466649bc5c88e4f204d05
SHA1:
745a6634ca8c388474200d4fda85499ea39f5b7c
SHA256:
FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
Saiz fail:
36.35 KB , 36352 bait
|
|
MD5:
346bbb4260171d4488640eaa17a42d69
SHA1:
165553fcb9f8c39dd9308f0c84928443f006610a
SHA256:
239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
Saiz fail:
2.76 MB , 2755072 bait
|
|
MD5:
16fa945e7f8916993e14899fc15bc570
SHA1:
8d0e181866a6e46e60de1c525bcb6cf37606fc90
SHA256:
E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
Saiz fail:
1.44 MB , 1441072 bait
|
|
MD5:
db3012484135ac6e57c403cd5a313628
SHA1:
bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
SHA256:
D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
Saiz fail:
2.83 MB , 2826240 bait
|
|
MD5:
335eecbd15076a753aef8e5351d6456d
SHA1:
be9f1b5e7deb420be48fc1662e875a45f758e4d5
SHA256:
906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
Saiz fail:
2.79 MB , 2792960 bait
|
|
MD5:
92289f257bee2b88608966ef3766a56b
SHA1:
fade887fc0a449b08f90febd81e40efa3e464f67
SHA256:
9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
Saiz fail:
264.70 KB , 264704 bait
|
|
MD5:
eb8058e2448712e4d0cd7ac1f774d509
SHA1:
51e551aa4c96c274eb9dae243c9b2feb9899b7dd
SHA256:
A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
Saiz fail:
67.07 KB , 67072 bait
|
|
MD5:
2bc7095ba09bb4dd46fe5753971e72da
SHA1:
b9823c2097ee09cdca5f697a022f5d2d4f832cff
SHA256:
5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
Saiz fail:
68.10 KB , 68096 bait
|
|
MD5:
9e389b1bb9cd763e730a537fc4090a36
SHA1:
1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
SHA256:
25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
Saiz fail:
40.96 KB , 40960 bait
|
Atribut Boleh Laksana Mudah Alih Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ikon Fail
Ikon Fail
Bahagian ini memaparkan sumber ikon yang terdapat dalam sampel keluarga. Perisian hasad sering meniru ikon yang biasanya dikaitkan dengan perisian yang sah untuk mengelirukan pengguna agar mempercayai bahawa perisian hasad itu selamat.
Maklumat Versi Windows PE
Maklumat Versi Windows PE
Bahagian ini memaparkan nilai dan atribut yang telah ditetapkan dalam struktur data maklumat versi fail Windows untuk sampel dalam keluarga ini. Untuk mengelirukan pengguna, pelaku perisian hasad sering menambah maklumat versi palsu yang meniru perisian yang sah.| nama | Nilai |
|---|---|
| Assembly Version |
|
| Comments |
|
| Company Name |
|
| File Description |
Show 2 more
|
| File Version |
|
| Internal Name |
Show 11 more
|
| Legal Copyright |
|
| Legal Trademarks | Trademarks (R) 2017 Captain Sim |
| Original Filename |
Show 11 more
|
| Product Name |
Show 4 more
|
| Product Version |
|
Tandatangan Digital
Tandatangan Digital
Bahagian ini menyenaraikan tandatangan digital yang dilampirkan pada sampel dalam keluarga ini. Semasa menganalisis dan mengesahkan tandatangan digital, adalah penting untuk mengesahkan bahawa autoriti akar tandatangan tersebut adalah entiti yang terkenal dan boleh dipercayai dan status tandatangan tersebut adalah baik. Perisian hasad sering ditandatangani dengan tandatangan digital "Tandatangan Sendiri" yang tidak boleh dipercayai (yang boleh dicipta dengan mudah oleh pengarang perisian hasad tanpa pengesahan). Perisian hasad juga boleh ditandatangani oleh tandatangan sah yang mempunyai status tidak sah dan oleh tandatangan daripada autoriti akar yang meragukan dengan nama "Penandatangan" palsu atau mengelirukan.| Penandatangan | Akar | Status |
|---|---|---|
| UnlockClient.co | UnlockClient.co | Self Signed |
Ciri-ciri Fail
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show 1 more
- x86
Maklumat Blok
Maklumat Blok
Semasa analisis, EnigmaSoft memecahkan sampel fail kepada blok logik untuk pengelasan dan perbandingan dengan sampel lain. Blok boleh digunakan untuk menjana peraturan pengesanan malware dan untuk mengumpulkan sampel fail kepada keluarga berdasarkan kod sumber yang dikongsi, fungsi dan atribut serta ciri pembezaan lain. Bahagian ini menyenaraikan ringkasan data blok ini, serta pengelasannya oleh EnigmaSoft. Perwakilan visual data blok juga dipaparkan, jika tersedia.| Jumlah Blok: | 92 |
|---|---|
| Sekatan Berpotensi Berniat Jahat: | 0 |
| Blok yang Disenarai Putih: | 69 |
| Blok Tidak Diketahui: | 23 |
Peta Visual
? - Blok Tidak Diketahui
x - Sekatan Berpotensi Berniat Jahat
Keluarga Serupa
Keluarga Serupa
Bahagian ini menyenaraikan keluarga lain yang berkongsi persamaan dengan keluarga ini, berdasarkan analisis EnigmaSoft. Banyak keluarga perisian hasad dicipta daripada kit alat perisian hasad yang sama dan menggunakan teknik pembungkusan dan penyulitan yang sama tetapi secara uniknya meluaskan fungsi. Keluarga yang serupa juga mungkin berkongsi kod sumber, atribut, ikon, subkomponen, tandatangan digital yang dikompromi dan/atau tidak sah, dan ciri rangkaian. Penyelidik memanfaatkan persamaan ini untuk menilai sampel fail dengan cepat dan berkesan dan meluaskan peraturan pengesanan perisian hasad.- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.LD
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
Show 4 more
- MSIL.Krypt.UJB
- MSIL.Kryptik.AR
- MSIL.Kryptik.UJA
- MSIL.Rozena.GG
Fail Diubah Suai
Fail Diubah Suai
Bahagian ini menyenaraikan fail yang telah dicipta, diubah suai, dipindahkan dan/atau dipadam oleh sampel dalam keluarga ini. Aktiviti sistem fail boleh memberikan pandangan berharga tentang cara perisian hasad berfungsi pada sistem pengendalian.| Fail | Atribut |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\sirdur.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\chromeupdate.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\svchost.exe | Generic Write,Read Attributes |
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
Pengubahsuaian Pendaftaran
Pengubahsuaian Pendaftaran
Bahagian ini menyenaraikan kunci dan nilai pendaftaran yang telah dicipta, diubah suai dan/atau dipadamkan oleh sampel dalam keluarga ini. Aktiviti Pendaftaran Windows boleh memberikan pandangan berharga tentang fungsi perisian hasad. Selain itu, perisian hasad selalunya mencipta nilai pendaftaran untuk membolehkan dirinya bermula secara automatik dan berterusan selama-lamanya selepas jangkitan awal telah menjejaskan sistem.| Kunci::Nilai | Data | Nama API |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show 4 more
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Penggunaan API Windows
Penggunaan API Windows
Bahagian ini menyenaraikan panggilan API Windows yang digunakan oleh sampel dalam keluarga ini. Analisis penggunaan API Windows merupakan alat berharga yang boleh membantu mengenal pasti aktiviti berniat jahat, seperti pengelogan kunci, peningkatan keistimewaan keselamatan, penyulitan data, pengekstrakan data, gangguan terhadap perisian antivirus dan manipulasi permintaan rangkaian.| Kategori | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show 90 more
8 item tambahan tidak dipaparkan di atas. |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|