XWorm RAT
Karta wyników zagrożenia
Karta wyników zagrożeń EnigmaSoft
EnigmaSoft Threat Scorecards to raporty oceniające różne zagrożenia złośliwym oprogramowaniem, które zostały zebrane i przeanalizowane przez nasz zespół badawczy. EnigmaSoft Threat Scorecards ocenia i klasyfikuje zagrożenia przy użyciu kilku wskaźników, w tym rzeczywistych i potencjalnych czynników ryzyka, trendów, częstotliwości, rozpowszechnienia i trwałości. Karty oceny zagrożeń EnigmaSoft są regularnie aktualizowane na podstawie danych i wskaźników naszych badań i są przydatne dla szerokiego grona użytkowników komputerów, od użytkowników końcowych poszukujących rozwiązań do usuwania złośliwego oprogramowania ze swoich systemów po ekspertów ds. bezpieczeństwa analizujących zagrożenia.
Karty wyników zagrożeń EnigmaSoft wyświetlają wiele przydatnych informacji, w tym:
Ranking popularności: Ranking konkretnego zagrożenia w bazie danych zagrożeń EnigmaSoft.
Poziom ważności: Określony poziom ważności obiektu, przedstawiony liczbowo, na podstawie naszego procesu modelowania ryzyka i badań, jak wyjaśniono w naszych Kryteriach oceny zagrożeń .
Zainfekowane komputery: liczba potwierdzonych i podejrzewanych przypadków określonego zagrożenia wykrytych na zainfekowanych komputerach według danych SpyHunter.
Zobacz także Kryteria oceny zagrożeń .
| Ranking popularności: | 6,045 |
| Poziom zagrożenia: | 80 % (Wysoka) |
| Zainfekowane komputery: | 419 |
| Pierwszy widziany: | April 24, 2023 |
| Ostatnio widziany: | November 6, 2026 |
| Systemy operacyjne, których dotyczy problem: | Windows |
Złośliwe oprogramowanie XWorm jest identyfikowane jako zagrożenie z kategorii Trojan zdalnego dostępu (RAT). RAT są specjalnie zaprojektowane, aby umożliwić cyberprzestępcom nieautoryzowany dostęp i kontrolę nad komputerem ofiary. Za pomocą RAT osoby atakujące mogą zdalnie monitorować i obserwować działania użytkowników, kraść poufne dane i wykonywać szeroki zakres złośliwych operacji na zaatakowanym systemie, w zależności od swoich konkretnych celów. Według badaczy XWorm RAT jest oferowany na sprzedaż przez jego twórców w cenie 400 USD.
Spis treści
XWorm RAT może ukraść szeroki zakres poufnych informacji
XWorm RAT posiada szeroki wachlarz możliwości, które czynią go wysoce wyrafinowanym i niebezpiecznym zagrożeniem w rękach cyberprzestępców. Jedną z jego podstawowych funkcji jest możliwość potajemnej kradzieży cennych informacji systemowych z komputera ofiary. RAT może kraść poufne dane z popularnych przeglądarek. XWorm może wydobywać hasła, pliki cookie, dane kart kredytowych, zakładki, pliki do pobrania, słowa kluczowe i historię przeglądania z przeglądarek Chromium. Podobnie może podkradać hasła, pliki cookie, zakładki i historię z przeglądarek Firefox, znacznie zagrażając bezpieczeństwu działań online ofiary.
Co więcej, możliwości XWorm obejmują kierowanie różnych aplikacji i usług. Może kraść dane sesji Telegrama, tokeny Discord, hasła WiFi, dane Metamask i FileZilla. Dodatkowo XWorm może uzyskiwać dostęp do Edytora rejestru, rejestrować naciśnięcia klawiszy, uruchamiać oprogramowanie ransomware w celu szyfrowania plików i żądania okupu oraz manipulować danymi, usługami i procesami w schowku.
Oprócz kradzieży informacji, XWorm ma możliwość wykonywania plików, dając atakującym moc uruchamiania różnych złośliwych programów i ładunków w zaatakowanym systemie. Ponadto trojan może uzyskać nieautoryzowany dostęp do kamery internetowej i mikrofonu ofiary, poważnie naruszając prywatność i umożliwiając atakującym monitorowanie działań ofiary. Zasięg XWorm sięga jeszcze dalej, ponieważ może otwierać adresy URL, wykonywać polecenia powłoki i zarządzać plikami, skutecznie dając atakującym pełną kontrolę nad komputerem ofiary.
Atakujący mogą nawet używać XWorm do włączania lub wyłączania krytycznych komponentów i funkcji systemu, takich jak Kontrola konta użytkownika (UAC), Edytor rejestru, Menedżer zadań, Zapora ogniowa i aktualizacje systemu. Możliwość wywołania niebieskiego ekranu śmierci (BSoD) dodaje kolejną warstwę zakłóceń i potencjalnych uszkodzeń systemu ofiary.
XWorm RAT może zostać wykorzystany do dostarczania ładunków ransomware na naruszone urządzenia
Jedną z istotnych możliwości XWorm jest jego zdolność do przeprowadzania ataków ransomware. Ransomware to groźne oprogramowanie, które szyfruje pliki, czyniąc je niedostępnymi bez określonego klucza deszyfrującego. Następnie operatorzy XWorm mogą zażądać zapłaty od ofiary w zamian za dostarczenie oprogramowania deszyfrującego niezbędnego do odzyskania dostępu do zaszyfrowanych plików.
Ponadto zaobserwowano, że XWorm jest wykorzystywany przez cyberprzestępców do przejmowania kontroli nad schowkiem. Technika ta polega na monitorowaniu złośliwego oprogramowania i przechwytywaniu danych kopiowanych do schowka ofiary, ze szczególnym naciskiem na podmianę adresów portfela kryptowalut. Na przykład, jeśli ofiara skopiuje adres portfela Bitcoin, Ethereum lub innej kryptowaluty, XWorm wykrywa dane i zastępuje je adresem portfela należącym do cyberprzestępców. W rezultacie ofiary nieświadomie wysyłają swoje środki do portfela hakerów zamiast na adres zamierzonego odbiorcy.
Szeroki zakres złośliwych możliwości obserwowanych w XWorm RAT obejmuje również funkcję keyloggera. Rejestrowanie klawiszy obejmuje szkodliwy proces potajemnego przechwytywania i rejestrowania wszystkich działań wprowadzanych z klawiatury przez użytkownika w zainfekowanym systemie. Oznacza to, że hasła, dane logowania, poufne wiadomości i inne dane osobowe są potajemnie zapisywane i przesyłane do serwera kontrolującego atakującego.
Raport z analizy
Informacje ogólne
| Nazwisko: | Keylogger.XWormRAT |
|---|---|
| Status podpisu: | No Signature |
Znane próbki
Znane próbki
W tej sekcji wymieniono inne przykłady plików, które prawdopodobnie są powiązane z tą rodziną.|
MD5:
8393544e67726805f0c88ccda151372c
SHA1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Rozmiar pliku:
2.97 MB , 2971648 bajtów
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
SHA1:
53c9351e354d5466b49786b2b6afafee30d822ee
SHA256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Rozmiar pliku:
11.78 KB , 11776 bajtów
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
SHA1:
ce89172965fe3205dc28014db093c5c19a3e1236
SHA256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Rozmiar pliku:
55.30 KB , 55296 bajtów
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
SHA1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Rozmiar pliku:
44.54 KB , 44544 bajtów
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
SHA1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Rozmiar pliku:
2.07 MB , 2074112 bajtów
|
Show 18 more
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
SHA1:
6a2f992055737bd58e936c01c86ed965034dce57
SHA256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Rozmiar pliku:
265.73 KB , 265728 bajtów
|
|
MD5:
65d0a7755d74384f5055dd3b6af0cc4d
SHA1:
4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256:
6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
Rozmiar pliku:
11.78 KB , 11776 bajtów
|
|
MD5:
60631806cffc9ef3b048d4d52b06fdb5
SHA1:
ab2f4dddb861207328134ed450c90def1b15f638
SHA256:
0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
Rozmiar pliku:
40.96 KB , 40960 bajtów
|
|
MD5:
7800b8cc29632ba356e56836453e84fa
SHA1:
6b6daa1115657576393bb302ad0abd590f9d7549
SHA256:
51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
Rozmiar pliku:
2.91 MB , 2908304 bajtów
|
|
MD5:
8517680e669d6b3d634a7592f0af9ff4
SHA1:
b5440419d839306a35cadb26e4f1ea6e243da7f9
SHA256:
BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
Rozmiar pliku:
60.42 KB , 60416 bajtów
|
|
MD5:
6352569fc1f1e4763650ec5b7b3371ff
SHA1:
7fef3755e9f9293c1c879cb2408ac8877cda7ebd
SHA256:
9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
Rozmiar pliku:
1.44 MB , 1436545 bajtów
|
|
MD5:
1aed592e6a6f6747104f8f2dfdc48100
SHA1:
e80d90230e3bfa7c1ed032677e5ac137830723d6
SHA256:
F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
Rozmiar pliku:
1.24 MB , 1244672 bajtów
|
|
MD5:
bdabe0c54c8dde931a5e08785b3d258f
SHA1:
004fe676d3fe98633c5cc4a12668a554a4f316b0
SHA256:
164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
Rozmiar pliku:
2.07 MB , 2067456 bajtów
|
|
MD5:
b1a07aae097a8481ee3c61392ac8bce1
SHA1:
f3361d200b7469bcd5082e3f0c71c51a6fb44273
SHA256:
9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
Rozmiar pliku:
2.71 MB , 2706944 bajtów
|
|
MD5:
09fc5f8cc8c466649bc5c88e4f204d05
SHA1:
745a6634ca8c388474200d4fda85499ea39f5b7c
SHA256:
FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
Rozmiar pliku:
36.35 KB , 36352 bajtów
|
|
MD5:
346bbb4260171d4488640eaa17a42d69
SHA1:
165553fcb9f8c39dd9308f0c84928443f006610a
SHA256:
239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
Rozmiar pliku:
2.76 MB , 2755072 bajtów
|
|
MD5:
16fa945e7f8916993e14899fc15bc570
SHA1:
8d0e181866a6e46e60de1c525bcb6cf37606fc90
SHA256:
E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
Rozmiar pliku:
1.44 MB , 1441072 bajtów
|
|
MD5:
db3012484135ac6e57c403cd5a313628
SHA1:
bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
SHA256:
D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
Rozmiar pliku:
2.83 MB , 2826240 bajtów
|
|
MD5:
335eecbd15076a753aef8e5351d6456d
SHA1:
be9f1b5e7deb420be48fc1662e875a45f758e4d5
SHA256:
906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
Rozmiar pliku:
2.79 MB , 2792960 bajtów
|
|
MD5:
92289f257bee2b88608966ef3766a56b
SHA1:
fade887fc0a449b08f90febd81e40efa3e464f67
SHA256:
9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
Rozmiar pliku:
264.70 KB , 264704 bajtów
|
|
MD5:
eb8058e2448712e4d0cd7ac1f774d509
SHA1:
51e551aa4c96c274eb9dae243c9b2feb9899b7dd
SHA256:
A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
Rozmiar pliku:
67.07 KB , 67072 bajtów
|
|
MD5:
2bc7095ba09bb4dd46fe5753971e72da
SHA1:
b9823c2097ee09cdca5f697a022f5d2d4f832cff
SHA256:
5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
Rozmiar pliku:
68.10 KB , 68096 bajtów
|
|
MD5:
9e389b1bb9cd763e730a537fc4090a36
SHA1:
1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
SHA256:
25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
Rozmiar pliku:
40.96 KB , 40960 bajtów
|
Atrybuty pliku wykonywalnego przenośnego systemu Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ikony plików
Ikony plików
W tej sekcji wyświetlane są zasoby ikon znalezione w próbkach rodzinnych. Złośliwe oprogramowanie często powiela ikony powszechnie kojarzone z legalnym oprogramowaniem, aby wprowadzić użytkowników w błąd i sprawić, by uwierzyli, że złośliwe oprogramowanie jest bezpieczne.
Informacje o wersji systemu Windows PE
Informacje o wersji systemu Windows PE
Ta sekcja wyświetla wartości i atrybuty ustawione w strukturze danych informacji o wersji pliku systemu Windows dla próbek z tej rodziny. Aby wprowadzić użytkowników w błąd, cyberprzestępcy często dodają fałszywe informacje o wersji, imitujące legalne oprogramowanie.| Imię | Wartość |
|---|---|
| Assembly Version |
|
| Comments |
|
| Company Name |
|
| File Description |
Show 2 more
|
| File Version |
|
| Internal Name |
Show 11 more
|
| Legal Copyright |
|
| Legal Trademarks | Trademarks (R) 2017 Captain Sim |
| Original Filename |
Show 11 more
|
| Product Name |
Show 4 more
|
| Product Version |
|
Podpisy cyfrowe
Podpisy cyfrowe
W tej sekcji wymieniono podpisy cyfrowe dołączone do próbek z tej rodziny. Podczas analizy i weryfikacji podpisów cyfrowych ważne jest potwierdzenie, że główny organ, na którym utworzono podpis, jest znanym i godnym zaufania podmiotem, a status podpisu jest prawidłowy. Złośliwe oprogramowanie jest często podpisywane niewiarygodnymi podpisami cyfrowymi typu „Self Signatureed” (które mogą być łatwo utworzone przez autora złośliwego oprogramowania bez weryfikacji). Złośliwe oprogramowanie może być również podpisywane legalnymi podpisami o nieprawidłowym statusie, a także podpisami wątpliwych głównych organów, z fałszywymi lub wprowadzającymi w błąd nazwami „Signer”.| Podpisujący | Źródło | Status |
|---|---|---|
| UnlockClient.co | UnlockClient.co | Self Signed |
Cechy pliku
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show 1 more
- x86
Informacje o bloku
Informacje o bloku
Podczas analizy EnigmaSoft dzieli próbki plików na logiczne bloki w celu ich klasyfikacji i porównania z innymi próbkami. Bloki mogą służyć do generowania reguł wykrywania złośliwego oprogramowania oraz grupowania próbek plików w rodziny na podstawie wspólnego kodu źródłowego, funkcjonalności oraz innych wyróżniających je atrybutów i cech. W tej sekcji znajduje się podsumowanie danych dotyczących tych bloków, a także ich klasyfikacja przez EnigmaSoft. Wyświetlana jest również wizualna reprezentacja danych bloków, tam gdzie jest dostępna.| Łączna liczba bloków: | 92 |
|---|---|
| Potencjalnie złośliwe blokady: | 0 |
| Blokady na białej liście: | 69 |
| Nieznane bloki: | 23 |
Mapa wizualna
? - Nieznany blok
x – Potencjalnie złośliwy blok
Podobne rodziny
Podobne rodziny
W tej sekcji wymieniono inne rodziny, które mają podobieństwa do tej rodziny, na podstawie analizy EnigmaSoft. Wiele rodzin złośliwego oprogramowania jest tworzonych z tych samych zestawów narzędzi i wykorzystuje te same techniki pakowania i szyfrowania, ale w unikalny sposób rozszerza funkcjonalność. Podobne rodziny mogą również mieć wspólny kod źródłowy, atrybuty, ikony, podkomponenty, zainfekowane i/lub nieprawidłowe podpisy cyfrowe oraz charakterystykę sieci. Badacze wykorzystują te podobieństwa do szybkiej i skutecznej selekcji próbek plików oraz rozszerzania reguł wykrywania złośliwego oprogramowania.- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.LD
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
Show 4 more
- MSIL.Krypt.UJB
- MSIL.Kryptik.AR
- MSIL.Kryptik.UJA
- MSIL.Rozena.GG
Zmodyfikowane pliki
Zmodyfikowane pliki
W tej sekcji wymieniono pliki, które zostały utworzone, zmodyfikowane, przeniesione i/lub usunięte przez próbki z tej rodziny. Aktywność w systemie plików może dostarczyć cennych informacji o tym, jak złośliwe oprogramowanie działa w systemie operacyjnym.| Plik | Atrybuty |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\sirdur.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\chromeupdate.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\svchost.exe | Generic Write,Read Attributes |
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
Modyfikacje rejestru
Modyfikacje rejestru
W tej sekcji wymieniono klucze i wartości rejestru, które zostały utworzone, zmodyfikowane i/lub usunięte przez próbki z tej rodziny. Aktywność rejestru systemu Windows może dostarczyć cennych informacji o funkcjonalności złośliwego oprogramowania. Ponadto złośliwe oprogramowanie często tworzy wartości rejestru, aby umożliwić sobie automatyczne uruchomienie i nieograniczony czas trwania po tym, jak pierwotna infekcja zainfekuje system.| Klucz::Wartość | Dane | Nazwa API |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show 4 more
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Użycie interfejsu API systemu Windows
Użycie interfejsu API systemu Windows
W tej sekcji wymieniono wywołania interfejsu API systemu Windows używane przez próbki z tej rodziny. Analiza wykorzystania interfejsu API systemu Windows to cenne narzędzie, które może pomóc w identyfikacji złośliwych działań, takich jak keylogger, eskalacja uprawnień bezpieczeństwa, szyfrowanie danych, eksfiltracja danych, zakłócanie działania oprogramowania antywirusowego i manipulacja żądaniami sieciowymi.| Kategoria | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show 90 more
8 dodatkowych elementów nie jest wyświetlanych powyżej. |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|