njRAT Lime Edition

O njRAT Lime Edition é um Trojan de Acesso Remoto que possui recursos de ransomware, além de permitir que os golpistas tenham acesso remoto aos computadores infectados. O njRAT Lime Edition inclui um mecanismo de criptografia que torna os arquivos de vítima inúteis, permitindo que os seus perpetradores exijam pagamentos de resgate de suas vítimas, bem como recursos de backdoor que permitem que os ciber-hackers tenham acesso ao PC infectado.

O Gosto Amargo de uma Infecção pelo njRAT Lime Edition

O njRAT Lime Edition está sendo anunciado na Dark Web, bem como em vários sites e vídeos de hackers na Internet. Desenvolvido por alguém que usa o identificador 'Mr3x3', o njRAT Lime Edition está sendo anunciado como tendo os seguintes recursos no seu ataque (esse texto faz parte do material publicitário do njRAT Lime Edition):

[+]Ransomware Integrado
[+]Teste de Stress Integrado\\ slowloris e ARME
[+]Especificação do PC Integrada\\Obtenha informações sobre oCPU GPU RAM
[+]Localizador de Carteira de BTC Integrado
[+]Mudança do Papel de Parede Obter Integrada
[+]Disseminador de USB Inteligente
[+]Mais Inteligentes [Logs]
[+]Anti-processo Atualizado\\Agora, se você clicar em LIGAR, vai ficar sempre ligado mesmo após o reiníciamento até você pressionar DESLIGAR
[+] Bitcoin atualizado\\O ON também vai fazer com que seja executado depois de reiniciar até que o DESLIGAR seja pressionado
[+] A caixa de Mensagem Fixa não está sendo mostrada no topo
[+] Cópia corrigida para inicialização
[+] Símbolos estranhos da janela activa consertados
[+] E outros erros foram corrigidos
[+] Pasta de Suporte Atualizada\\Agora está mais limpo e fácil de ler

Parece que a principal atração do njRAT Lime Edition é a adição de um recurso de ransomware, o que permite que os ciber-golpistas ganhem dinheiro infectando o computador da vítima. O njRAT Lime Edition exibe a seguinte nota de resgate nos computadores das vítimas

'Todos os seus arquivos foram bloqueados
Você pode recuperá-los, apenas nos pague 200 $ com Bitcoin
Nosso endereço de bitcoin é
BTC TEST 12345678990000120233
Assista a este vídeo para saber como nos pagar https://www.youtube.com/watch?v=Ji9IwPId5Uk
Isso não é brincadeira. Este é um ransomware'

Como Funciona o Ataque do njRAT Lime Edition

O njRAT Lime Edition está associado a um kit de construção de ameaças que os cybercrook podem usar para criar versões personalizadas do njRAT Lime Edition. O njRAT Lime Edition marca os arquivos criptografados em seu ataque, adicionando a extensão de arquivo '.Lime' no final do nome de cada arquivo afetado em sua versão padrão. O njRAT Lime Edition tem todos os recursos de um Trojan backdoor, juntamente com os recursos de um Trojan ransomware de criptografia. Como a maioria dos Trojans backdoor, o njRAT Lime Edition foi projetada para permitir que os vigaristas tenham acesso remoto aos computadores infectados. O njRAT Lime Edition também permite que terceiros monitorem as atividades da vítima, coletem dados e coletem informações, além de controlar o computador infectado de um local remoto. Além disso, o módulo de ransomware do njRAT Lime Edition permite que os golpistas realizem ataques de ransomware. O njRAT Lime Edition usará um forte algoritmo de criptografia para tornar os arquivos da vítima fora de alcance e, em seguida, exigirá que a vítima pague um resgate de 200 USD em troca da chave de descriptografia, que é necessária para restaurar os arquivos afetados. Essa combinação permite que essas pessoas realizem ataques devastadores contra suas vítimas.

Protegendo o Seu Computador Contra Ameaças como o njRAT Lime Edition

A melhor proteção contra os Trojans backdoor como o njRAT Lime Edition é ter um programa de segurança forte, que esteja totalmente atualizado e tomar precauções ao manusear qualquer material suspeito, tal como anexos de email não solicitados ou links on-line. Para proteger você e sua máquina contra os Trojans ransomware, você deve ter backups dos arquivos. Se um Trojan como o njRAT Lime Edition criptografar os seus arquivos, ter a capacidade de restaurar seus arquivos de uma cópia de backup significa que não há necessidade de entrar em contato com os vigaristas ou pagar o resgate para se recuperar de um ataque pelo njRAT Lime Edition. Uma combinação de um forte software de segurança e métodos de backup confiáveis é comprovadamente o melhor método para proteger os seus dados contra o njRAT Lime Edition.

SpyHunter detecta e remove njRAT Lime Edition

Relatório de análise

Informação geral

Nome de família:	Trojan.NJRat
Status da assinatura:	No Signature

Amostras conhecidas

i

Amostras conhecidas

Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.

MD5: c2e98fefd702a795df473cd5c4fa1a06 SHA1: a3d4b5acd49595323a70669f2d95bdf7c00d6e7f Tamanho do Arquivo: 44.03 KB.44032 bytes

MD5: aacb4ea51663d606f4ab72a35c42c9a4 SHA1: 7fbfca8d150f7ff1a98e7e6fbe46250a0302549b Tamanho do Arquivo: 44.03 KB.44032 bytes

MD5: 8fedbd58c4408647d660a1a68643e354 SHA1: 0731fd0d5df5afc9d20181d4cc55fa9c0c255813 SHA256: 0B6DD4586D6355828F0EBADAD74D464AFBF9BB8F87FBCB9FA3B0C69384B49087 Tamanho do Arquivo: 176.13 KB.176128 bytes

MD5: 05e352ab24f8dbb161a24b5e97392c3b SHA1: ae9352b505a59b961c89e266828dd3269e3cdfe4 SHA256: 955C87FC402849E6CF97B46819EA624A2CEEB99BE6D1661E3F4F90A9F5B254AB Tamanho do Arquivo: 44.03 KB.44032 bytes

MD5: 100e1cdb67a53f333b5416363b7fc28f SHA1: 94abcd9094b4ef36b117871198b385497b686456 SHA256: D57A9DC8277FF5CEDAED8CB9B6D6E2A056577CF360A278CB92C9B73E145B4DD5 Tamanho do Arquivo: 86.02 KB.86016 bytes

Mostrar mais

MD5: 085ee6025cf34362132c770009831c6d SHA1: fe9da07158274e8b89a582a3e9c91176c46b45c7 SHA256: EFF8A9F48E98E52609F75D9AB7BAED6F695C2557B29A52F6DF48A5F6232F0674 Tamanho do Arquivo: 44.03 KB.44032 bytes

MD5: d193b2c35b908ed67d811ea6aee4bfa6 SHA1: 518b195d57564638a52c56e4c9551dace1579c85 SHA256: 35FF829AC8E9BB62D866CBBB3CA80F2C9CAD86C62B8AA611D62355FB647FEAF3 Tamanho do Arquivo: 931.84 KB.931840 bytes

MD5: 5b27ed216fd8fdf6e7b1845907e27651 SHA1: 77d2531345d0e1ee0ab243e97c1745d8756dbf2b SHA256: 0A37089A6ED6F959A67E4F2CC915E475672FBEAE8CB62445323F4B5A0D27D683 Tamanho do Arquivo: 44.03 KB.44032 bytes

MD5: 84e880b79b92b79ccaa5a1bd49d26fc7 SHA1: fbc04e493ee25f09c78cd68f6f2c8cefb666519a SHA256: F30D7BACA5AC46070996EA2D7CEC1C973CE82C37406E272CF477637DDF393390 Tamanho do Arquivo: 24.06 KB.24064 bytes

MD5: cdaff34f26834de4aeb7d4d453ef6f33 SHA1: 2edfb5b7052b7a0d975514e4d0c6f1a024d58e74 SHA256: E7FCF8535402646616B03BAA3524C78CCA0EA50E4571363404AF4CFCFD49FF0C Tamanho do Arquivo: 44.03 KB.44032 bytes

Atributos do executável portátil do Windows

i

Atributos do executável portátil do Windows

Esta seção lista os atributos de arquivo encontrados nas amostras da família. Esses atributos são extraídos da especificação Windows PE (Portable Executable) dos arquivos e de vários sinalizadores do sistema. Os atributos do Portable Executable fornecem aos pesquisadores de malware informações sobre a funcionalidade de um arquivo, detalhes do executável, plataforma e ambiente de execução.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File is .NET application
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)

Mostrar mais

• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Ícones de arquivo

i

Ícones de arquivo

Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.

Informações sobre a versão do Windows PE

i

Informações sobre a versão do Windows PE

Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.

Nome	Valor
Assembly Version	0.6.4.0
Comments	@njq8
Company Name	njq8
File Description	njRAT Arabic
File Version	0.6.4.0
Internal Name	njRAT.exe
Legal Copyright	Copyright © njq8 2013
Original Filename	njRAT.exe
Product Name	njRAT Arabic Version
Product Version	0.6.4.0

Características do arquivo

• .NET
• NewLateBinding
• No Version Info
• ntdll
• x86

Informações do bloco

i

Informações do bloco

Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.

Total de blocos:	41
Blocos potencialmente maliciosos:	1
Blocos permitidos:	12
Blocos desconhecidos:	28

Mapa visual

0 0 0 0 0 0 0 0 ? ? 0 ? ? ? x ? ? ? ? ? ? ? ? ? ? ? ? ? ? 0 ? ? ? ? 0 0 ? ? ? ? ?

0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso

Famílias semelhantes

i

Famílias semelhantes

Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.

• MSIL.Bladabindi.A
• MSIL.FakeMS.OA

Arquivos modificados

i

Arquivos modificados

Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.

Arquivo	Atributos
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\iniciar.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\roaming\servscmc.exe	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\windows\appcompat\programs\amcache.hve	Read Data,Read Control,Write Data
c:\windows\appcompat\programs\amcache.hve	Write Attributes

Modificações no Registro

i

Modificações no Registro

Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.

Chave::Valor	Dados	Nome da API
HKCU::di	!	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	Xl - �v�ZT������5#�� &�-(�(X�1`1�1HO@V�A��H[uH�p_�zb"hk`k�ql(�w�n{b��P��/���� �������X�������.���Rc�m�Ù��gi ����$ �8წ���>��&MA �=�S/�B1_B��T�Vw��R���%�������A	RegNtPreCreateKey
HKLM\system\software\microsoft\tip\aggregateresults::data	鐄ȴ 鲱 觭켜ʚ 꺇뺶 켜ʚ 꺇뺶 켜ʚ 꺇뺶 켜ʚ 릵犱 洎ʫ ጉ嵑 ㍕픋˹ 耀뫹躧 隞̃度耀꧌=֖	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet		RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect		RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n  �v����(�1`1�1HO@V�H[ub"hk`k�qw�n{b��P���� ���������m�Ù�����$ �8წ���&M�=�S/�B1_T�Vw���%�������AE��D��&��$���L	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n  �v����(�1`1�1HO@V�H[ub"hk`k�qw�n{b��P���� �����������m�Ù�����$ �8წ���&M�=�S/�B1_T�Vw���%�������AE��D��&��$���L	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc3475	鴳 ȁ 獖}	RegNtPreCreateKey

Mostrar mais

HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	�n ! �v����(�1`1�1HO@V�H[ub"hk`k�qw�n{b��P���� ��7 �M�����������m�Ù��IV����$ �8წ���&M�(! ��j� �=�S/�B1_T�Vw�`�V ��%�������AE��D��&��$���L	RegNtPreCreateKey
HKCU\environment::see_mask_nozonechecks	1	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	蔜鐡⊵ǝ	RegNtPreCreateKey
HKCU\local settings\muicache\1b\52c64b7e::@c:\windows\system32\firewallcontrolpanel.dll,-12122	Windows Defender Firewall	RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\windows\currentversion\run::7bdbd3290859c83a99c3f26914b27fd6	"C:\Users\Lkrcugsu\AppData\Local\Temp\INICIAR.exe" ..	RegNtPreCreateKey
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc3475	s�   * � /�� Y� d� � ��ރ �p ��^ �o � EVs}kP~��1�� 7 � �� ﺃee����1(�� fe�� iUe�� rG� se��	RegNtPreCreateKey
HKCU\software\microsoft\windows\currentversion\run::windows update	"C:\Users\Klplbbku\AppData\Roaming\servscmc.exe" ..	RegNtPreCreateKey

Utilização da API do Windows

i

Utilização da API do Windows

Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.

Categoria	API
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Keyboard Access	GetAsyncKeyState GetKeyState
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateFile ntdll.dll!NtCreateMutant Mostrar mais ntdll.dll!NtCreatePrivateNamespace ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFlushProcessWriteBuffers ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcess ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryDefaultLocale ntdll.dll!NtQueryDirectoryFileEx ntdll.dll!NtQueryFullAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationJobObject ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReadFile ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile ntdll.dll!NtYieldExecution UNKNOWN
Anti Debug	IsDebuggerPresent NtQuerySystemInformation
Process Manipulation Evasion	NtUnmapViewOfSection ReadProcessMemory
Process Shell Execute	CreateProcess ShellExecuteEx
Encryption Used	BCryptOpenAlgorithmProvider
Network Winsock2	WSAStartup
Service Control	OpenSCManager OpenService
Process Terminate	TerminateProcess

Execução de comandos do shell

i

Execução de comandos do shell

Esta seção lista os comandos do shell do Windows executados pelas amostras desta família. Os comandos do shell do Windows são frequentemente explorados por malware para fins maliciosos e podem ser usados para elevar privilégios de segurança, baixar e executar outros malwares, explorar vulnerabilidades, coletar e exfiltrar dados e ocultar atividades maliciosas.

C:\Windows\Microsoft.NET\Framework\v2.0.50727\\dw20.exe dw20.exe -x -s 952

(NULL) C:\Users\Lkrcugsu\AppData\Local\Temp\INICIAR.exe

netsh firewall add allowedprogram "C:\Users\Lkrcugsu\AppData\Local\Temp\INICIAR.exe" "INICIAR.exe" ENABLE

(NULL) C:\Users\Klplbbku\AppData\Roaming\servscmc.exe

Hassan firewall add allowedprogram "C:\Users\Klplbbku\AppData\Roaming\servscmc.exe" "servscmc.exe" ENABLE