Trojan.NJRat
Cartão de pontuação de ameaças
EnigmaSoft Threat Scorecard
Os EnigmaSoft Threat Scorecards são relatórios de avaliação para diferentes ameaças de malware que foram coletadas e analisadas por nossa equipe de pesquisa. Os Scorecards de Ameaças da EnigmaSoft avaliam e classificam as ameaças usando várias métricas, incluindo fatores de risco reais e potenciais, tendências, frequência, prevalência e persistência. Os Scorecards de Ameaças da EnigmaSoft são atualizados regularmente com base em nossos dados e métricas de pesquisa e são úteis para uma ampla gama de usuários de computador, desde usuários finais que buscam soluções para remover malware de seus sistemas até especialistas em segurança que analisam ameaças.
Os Scorecards de Ameaças da EnigmaSoft exibem uma variedade de informações úteis, incluindo:
Classificação de Popularidade: A classificação de uma ameaça específica no Banco de Dados de Ameaças da EnigmaSoft.
Nível de gravidade: O nível de gravidade determinado de um objeto, representado numericamente, com base em nosso processo de modelagem de risco e pesquisa, conforme explicado em nossos Critérios de Avaliação de Ameaças .
Computadores infectados: O número de casos confirmados e suspeitos de uma determinada ameaça detectada em computadores infectados conforme relatado pelo SpyHunter.
Consulte também Critérios de Avaliação de Ameaças .
| Classificação de popularidade: | 9,167 |
| Nível da Ameaça: | 80 % (Alto) |
| Computadores infectados: | 7,306 |
| Visto pela Primeira Vez: | August 12, 2016 |
| Visto pela Última Vez: | October 9, 2026 |
| SO (s) Afetados: | Windows |
O NJRat é um aplicativo de Trojan que se enquadra na categoria dos Trojans de Acesso Remoto/Ferramenta de Administração Remota (RATs), que são ameaças conhecidas por carregar em um sistema sem qualquer indicação para o usuário do computador, quando podem permitir que invasores remotos obtenham acesso ao sistema infectado.
As ações do NJRat são semelhantes às de Trojans populares, onde ele pode coletar dados do computador infectado, que podem incluir nomes de usuário, senhas, detalhes do sistema e outras informações que podem ser pessoais do usuário do computador. Esses dados coletados pelo NJRat podem ser acessados por hackers remotos, o que pode levar a casos de roubo de identidade.
Um dos aspectos mais criteriosos do NJRat é que ele pode baixar outros programas maliciosos no computador infectado, que incluem ameaças do tipo ransomware ou outro malware desconhecido que executa ativações malévolas pela Internet.
Fundamentalmente, as ações maliciosas do Trojan.NJRat variam e são todas uma tentativa de causar estragos em um computador e, potencialmente, roubar informações pessoais.
Índice
Como o NJRat foi Parar no Seu Computador?
A instalação do NJRat pode ocorrer por meio de campanhas de spam que espalham mensagens de spam que contêm anexos de arquivos maliciosos. Muitos dos anexos de arquivo podem estar na forma de documentos do MS Office, arquivos PDF, arquivos ZIP e até mesmo executáveis que parecem inofensivos para a maioria dos usuários de computador. Evitar a instalação do NJRat pode ser tão simples quanto prestar atenção especial aos arquivos anexos ou evitar sites potencialmente maliciosos que podem oferecer aplicativos baixados de terceiros.
A remoção do NJRat é uma tarefa difícil na maioria dos casos, mesmo para o usuário de computador mais experiente. Como o NJRat tem vantagens furtivas sobre outras ameaças de malware, pode não ser fácil identificar essa ameaça e excluí-la de um PC com o Windows. O uso de um recurso anti-malware será suficiente para detectar e eliminar com segurança o NJRat junto com qualquer um dos seus arquivos de malware associados de um sistema infectado.
SpyHunter detecta e remove Trojan.NJRat
Detalhes Sobre os Arquivos do Sistema
Trojan.NJRat pode criar o(s) seguinte(s) arquivo(s):
| # | Nome do arquivo | MD5 |
Detecções
Detecções: O número de casos confirmados e suspeitos de uma determinada ameaça detectada nos computadores infectados conforme relatado pelo SpyHunter.
|
|---|---|---|---|
| 1. | pw.dll | db87daf76c15f3808cec149f639aa64f | 870 |
| 2. | Mono.Cecil.dll | 851ec9d84343fbd089520d420348a902 | 268 |
| 3. | Wind.exe | 53a9de48e432d5587bb93bc5a8c7bb8b | 1 |
| 4. | AL-BASHA NJRAT CLEAN CRYPTER.EXE | 98ff2a318c13d486f34f81459f9d5fc8 | 0 |
| 5. | 2a4b142a5249f32d552712bf01d18f23 | 2a4b142a5249f32d552712bf01d18f23 | 0 |
| 6. | 4bbc15dba26f9d7ae8c2e3ec8a63dd4d | 4bbc15dba26f9d7ae8c2e3ec8a63dd4d | 0 |
| 7. | file.exe | a9f81658b17624154c7936935b3bb6b1 | 0 |
Detalhes sobre o Registro
Trojan.NJRat pode criar a seguinte entrada de registro ou entradas de registro:
File name without path
njw0rm.exe
VIP Script.exe
Regexp file mask
%APPDATA%\server.exe
%appdata%\SyCom.exe
%TEMP%\Console Window Host.exe
%WINDIR%\System32\Tasks\NYAN
Relatório de análise
Informação geral
| Nome de família: | Trojan.NJRat |
|---|---|
| Status da assinatura: | No Signature |
Amostras conhecidas
Amostras conhecidas
Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.|
MD5:
c2e98fefd702a795df473cd5c4fa1a06
SHA1:
a3d4b5acd49595323a70669f2d95bdf7c00d6e7f
Tamanho do Arquivo:
44.03 KB.44032 bytes
|
|
MD5:
aacb4ea51663d606f4ab72a35c42c9a4
SHA1:
7fbfca8d150f7ff1a98e7e6fbe46250a0302549b
Tamanho do Arquivo:
44.03 KB.44032 bytes
|
|
MD5:
8fedbd58c4408647d660a1a68643e354
SHA1:
0731fd0d5df5afc9d20181d4cc55fa9c0c255813
SHA256:
0B6DD4586D6355828F0EBADAD74D464AFBF9BB8F87FBCB9FA3B0C69384B49087
Tamanho do Arquivo:
176.13 KB.176128 bytes
|
|
MD5:
05e352ab24f8dbb161a24b5e97392c3b
SHA1:
ae9352b505a59b961c89e266828dd3269e3cdfe4
SHA256:
955C87FC402849E6CF97B46819EA624A2CEEB99BE6D1661E3F4F90A9F5B254AB
Tamanho do Arquivo:
44.03 KB.44032 bytes
|
|
MD5:
100e1cdb67a53f333b5416363b7fc28f
SHA1:
94abcd9094b4ef36b117871198b385497b686456
SHA256:
D57A9DC8277FF5CEDAED8CB9B6D6E2A056577CF360A278CB92C9B73E145B4DD5
Tamanho do Arquivo:
86.02 KB.86016 bytes
|
Mostrar mais
|
MD5:
085ee6025cf34362132c770009831c6d
SHA1:
fe9da07158274e8b89a582a3e9c91176c46b45c7
SHA256:
EFF8A9F48E98E52609F75D9AB7BAED6F695C2557B29A52F6DF48A5F6232F0674
Tamanho do Arquivo:
44.03 KB.44032 bytes
|
|
MD5:
d193b2c35b908ed67d811ea6aee4bfa6
SHA1:
518b195d57564638a52c56e4c9551dace1579c85
SHA256:
35FF829AC8E9BB62D866CBBB3CA80F2C9CAD86C62B8AA611D62355FB647FEAF3
Tamanho do Arquivo:
931.84 KB.931840 bytes
|
|
MD5:
5b27ed216fd8fdf6e7b1845907e27651
SHA1:
77d2531345d0e1ee0ab243e97c1745d8756dbf2b
SHA256:
0A37089A6ED6F959A67E4F2CC915E475672FBEAE8CB62445323F4B5A0D27D683
Tamanho do Arquivo:
44.03 KB.44032 bytes
|
|
MD5:
84e880b79b92b79ccaa5a1bd49d26fc7
SHA1:
fbc04e493ee25f09c78cd68f6f2c8cefb666519a
SHA256:
F30D7BACA5AC46070996EA2D7CEC1C973CE82C37406E272CF477637DDF393390
Tamanho do Arquivo:
24.06 KB.24064 bytes
|
|
MD5:
cdaff34f26834de4aeb7d4d453ef6f33
SHA1:
2edfb5b7052b7a0d975514e4d0c6f1a024d58e74
SHA256:
E7FCF8535402646616B03BAA3524C78CCA0EA50E4571363404AF4CFCFD49FF0C
Tamanho do Arquivo:
44.03 KB.44032 bytes
|
Atributos do executável portátil do Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Mostrar mais
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ícones de arquivo
Ícones de arquivo
Esta seção exibe os recursos de ícones encontrados nas amostras da família. O malware frequentemente replica ícones comumente associados a softwares legítimos para enganar os usuários e fazê-los acreditar que o malware é seguro.
Informações sobre a versão do Windows PE
Informações sobre a versão do Windows PE
Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.| Nome | Valor |
|---|---|
| Assembly Version | 0.6.4.0 |
| Comments | @njq8 |
| Company Name | njq8 |
| File Description | njRAT Arabic |
| File Version | 0.6.4.0 |
| Internal Name | njRAT.exe |
| Legal Copyright | Copyright © njq8 2013 |
| Original Filename | njRAT.exe |
| Product Name | njRAT Arabic Version |
| Product Version | 0.6.4.0 |
Características do arquivo
- .NET
- NewLateBinding
- No Version Info
- ntdll
- x86
Informações do bloco
Informações do bloco
Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.| Total de blocos: | 41 |
|---|---|
| Blocos potencialmente maliciosos: | 1 |
| Blocos permitidos: | 12 |
| Blocos desconhecidos: | 28 |
Mapa visual
0
0
0
0
0
0
0
0
?
?
0
?
?
?
x
?
?
?
?
?
?
?
?
?
?
?
?
?
?
0
?
?
?
?
0
0
?
?
?
?
?
0 - Bloco Provavelmente Seguro
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
Famílias semelhantes
Famílias semelhantes
Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.- MSIL.Bladabindi.A
- MSIL.FakeMS.OA
Arquivos modificados
Arquivos modificados
Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.| Arquivo | Atributos |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\iniciar.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\roaming\servscmc.exe | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\windows\appcompat\programs\amcache.hve | Read Data,Read Control,Write Data |
| c:\windows\appcompat\programs\amcache.hve | Write Attributes |
Modificações no Registro
Modificações no Registro
Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.| Chave::Valor | Dados | Nome da API |
|---|---|---|
| HKCU::di | ! | RegNtPreCreateKey |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | Xl - �v �ZT������5#��&�-(�(X�1`1�1HO @V� A��H[uH�p_�zb"hk`k�ql(�w�n{b��P� �/������� ����X�������.� ��Rc�m� Ù� �gi����$�8წ���>��&M A�=�S/� B1_ B�� T�Vw��R� ��%������ �A | RegNtPreCreateKey |
| HKLM\system\software\microsoft\tip\aggregateresults::data | 鐄ȴ 鲱 觭 켜ʚ꺇뺶 켜ʚ꺇뺶 켜ʚ꺇뺶 켜ʚ릵犱 洎ʫጉ嵑 ㍕ 픋˹耀뫹躧 隞̃度耀꧌ = ֖ | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::proxybypass | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::intranetname | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::uncasintranet | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\internet settings\zonemap::autodetect | RegNtPreCreateKey | |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n �v����(�1`1�1HO @V� H[ub"hk`k�qw�n{b��P� ������ ������m� Ù� ����$�8წ���&M �=�S/� B1_ T�Vw���%������ �AE��D��&��$���L | RegNtPreCreateKey |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n �v����(�1`1�1HO @V� H[ub"hk`k�qw�n{b��P� ������ ������ ��m� Ù� ����$�8წ���&M �=�S/� B1_ T�Vw���%������ �AE��D��&��$���L | RegNtPreCreateKey |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc3475 | 鴳 ȁ 獖} | RegNtPreCreateKey |
Mostrar mais
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | �n ! �v����(�1`1�1HO @V� H[ub"hk`k�qw�n{b��P� �����7� M��� ������ ��m� Ù� �IV ����$�8წ���&M�(!��j � �=�S/� B1_ T�Vw�`�V��%������ �AE��D��&��$���L | RegNtPreCreateKey |
| HKCU\environment::see_mask_nozonechecks | 1 | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 蔜鐡⊵ǝ | RegNtPreCreateKey |
| HKCU\local settings\muicache\1b\52c64b7e::@c:\windows\system32\firewallcontrolpanel.dll,-12122 | Windows Defender Firewall | RegNtPreCreateKey |
| HKLM\software\wow6432node\microsoft\windows\currentversion\run::7bdbd3290859c83a99c3f26914b27fd6 | "C:\Users\Lkrcugsu\AppData\Local\Temp\INICIAR.exe" .. | RegNtPreCreateKey |
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc3475 | s� * � /�� Y� d� � � �ރ �p ��^ �o � E Vs} kP~ ��1 �� 7 � �� ﺃ e e�� ��1 ( �� f e�� i U e�� r G � s e�� | RegNtPreCreateKey |
| HKCU\software\microsoft\windows\currentversion\run::windows update | "C:\Users\Klplbbku\AppData\Roaming\servscmc.exe" .. | RegNtPreCreateKey |
Utilização da API do Windows
Utilização da API do Windows
Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.| Categoria | API |
|---|---|
| User Data Access |
|
| Keyboard Access |
|
| Syscall Use |
Mostrar mais
|
| Anti Debug |
|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Encryption Used |
|
| Network Winsock2 |
|
| Service Control |
|
| Process Terminate |
|
Execução de comandos do shell
Execução de comandos do shell
Esta seção lista os comandos do shell do Windows executados pelas amostras desta família. Os comandos do shell do Windows são frequentemente explorados por malware para fins maliciosos e podem ser usados para elevar privilégios de segurança, baixar e executar outros malwares, explorar vulnerabilidades, coletar e exfiltrar dados e ocultar atividades maliciosas.
C:\Windows\Microsoft.NET\Framework\v2.0.50727\\dw20.exe dw20.exe -x -s 952
|
(NULL) C:\Users\Lkrcugsu\AppData\Local\Temp\INICIAR.exe
|
netsh firewall add allowedprogram "C:\Users\Lkrcugsu\AppData\Local\Temp\INICIAR.exe" "INICIAR.exe" ENABLE
|
(NULL) C:\Users\Klplbbku\AppData\Roaming\servscmc.exe
|
Hassan firewall add allowedprogram "C:\Users\Klplbbku\AppData\Roaming\servscmc.exe" "servscmc.exe" ENABLE
|
