XWorm RAT
Bonitetna ocena
EnigmaSoft Threat Scorecard
EnigmaSoft Threat Scorecards so poročila o oceni različnih groženj zlonamerne programske opreme, ki jih je zbrala in analizirala naša raziskovalna skupina. EnigmaSoft Threat Scorecards ocenjujejo in razvrščajo grožnje z uporabo več meritev, vključno z dejavniki tveganja iz resničnega sveta in potencialnimi dejavniki tveganja, trendi, pogostostjo, razširjenostjo in obstojnostjo. EnigmaSoft Threat Scorecards se redno posodabljajo na podlagi naših raziskovalnih podatkov in meritev ter so uporabni za širok krog uporabnikov računalnikov, od končnih uporabnikov, ki iščejo rešitve za odstranitev zlonamerne programske opreme iz svojih sistemov, do varnostnih strokovnjakov, ki analizirajo grožnje.
EnigmaSoft Threat Scorecards prikazuje vrsto uporabnih informacij, vključno z:
Priljubljenost: Uvrstitev določene grožnje v zbirki podatkov o grožnjah EnigmaSoft.
Stopnja resnosti: določena stopnja resnosti predmeta, predstavljena številčno na podlagi našega procesa modeliranja tveganja in raziskav, kot je razloženo v naših Merilih za oceno groženj .
Okuženi računalniki: število potrjenih in domnevnih primerov določene grožnje, odkrite na okuženih računalnikih, kot poroča SpyHunter.
Glejte tudi Merila za oceno nevarnosti .
| Lestvica priljubljenosti: | 6,045 |
| Stopnja nevarnosti: | 80 % (Visoko) |
| Okuženi računalniki: | 419 |
| Prvič viden: | April 24, 2023 |
| Nazadnje viden: | November 6, 2026 |
| Zadeti OS: | Windows |
Zlonamerna programska oprema XWorm je opredeljena kot grožnja iz kategorije trojanskih konjev za oddaljeni dostop (RAT). RATs so posebej zasnovani za omogočanje nepooblaščenega dostopa in nadzora nad računalnikom žrtve kibernetskim kriminalcem. Z uporabo RAT lahko napadalci na daljavo nadzirajo in opazujejo dejavnosti uporabnikov, ukradejo občutljive podatke in izvedejo širok spekter zlonamernih operacij na ogroženem sistemu, odvisno od njihovih posebnih ciljev. Po mnenju raziskovalcev razvijalci XWorm RAT ponujajo v prodajo po ceni 400 USD.
Kazalo
XWorm RAT lahko ukrade širok nabor občutljivih informacij
XWorm RAT ima obsežen nabor zmogljivosti, zaradi katerih je zelo sofisticirana in nevarna grožnja v rokah kibernetskih kriminalcev. Ena njegovih glavnih funkcij je zmožnost prikrite kraje dragocenih sistemskih informacij iz računalnika žrtve. RAT lahko ukrade občutljive podatke iz priljubljenih brskalnikov. XWorm lahko iz brskalnikov Chromium izvleče gesla, piškotke, podatke o kreditni kartici, zaznamke, prenose, ključne besede in zgodovino brskanja. Podobno lahko ukrade gesla, piškotke, zaznamke in zgodovino iz brskalnikov Firefox, kar močno ogrozi varnost žrtvinih spletnih dejavnosti.
Poleg tega zmogljivosti XWorma zajemajo ciljanje na različne aplikacije in storitve. Lahko ukrade podatke o seji Telegram, žetone Discord, gesla za WiFi, podatke Metamask in FileZilla. Poleg tega lahko XWorm dostopa do urejevalnika registra, beleži pritiske tipk, zažene izsiljevalsko programsko opremo za šifriranje datotek in zahteva odkupnino ter manipulira s podatki, storitvami in procesi v odložišču.
Poleg kraje informacij ima XWorm zmožnost izvajanja datotek, kar napadalcem omogoča zagon različnih zlonamernih programov in uporabnih obremenitev v ogroženem sistemu. Poleg tega lahko trojanec pridobi nepooblaščen dostop do žrtvine spletne kamere in mikrofona, kar predstavlja pomemben vdor v zasebnost in napadalcem omogoči nadzor nad žrtvinimi dejavnostmi. Doseg XWorma je še večji, saj lahko odpira URL-je, izvaja ukaze lupine in upravlja datoteke, s čimer napadalcem dejansko omogoči popoln nadzor nad računalnikom žrtve.
Napadalci lahko celo uporabijo XWorm za omogočanje ali onemogočanje kritičnih sistemskih komponent in funkcij, kot so nadzor uporabniškega računa (UAC), urejevalnik registra, upravitelj opravil, požarni zid in posodobitve sistema. Možnost priklica modrega zaslona smrti (BSoD) dodaja še eno plast motenj in morebitne škode sistemu žrtve.
XWorm RAT bi se lahko uporabil za dostavo izsiljevalske programske opreme na vdore v naprave
Ena od pomembnih zmogljivosti XWorma je njegova sposobnost izvajanja napadov z izsiljevalsko programsko opremo. Ransomware ogroža programsko opremo, ki šifrira datoteke, zaradi česar so nedostopne brez posebnega ključa za dešifriranje. Kasneje lahko operaterji XWorma zahtevajo plačilo od žrtve v zameno za zagotovitev potrebne programske opreme za dešifriranje, da ponovno pridobijo dostop do šifriranih datotek.
Poleg tega so opazili, da XWorm uporabljajo kibernetski kriminalci za ugrabitev odložišča. Ta tehnika vključuje spremljanje zlonamerne programske opreme in prestrezanje podatkov, kopiranih v odložišče žrtve, s posebnim poudarkom na zamenjavi naslovov denarnice za kriptovalute. Na primer, če žrtev kopira naslov denarnice Bitcoin, Ethereum ali drugo kriptovaluto, XWorm zazna podatke in jih nadomesti z naslovom denarnice v lasti kibernetskih kriminalcev. Posledično žrtve nehote pošljejo svoja sredstva v denarnico hekerjev namesto na predvideni naslov prejemnika.
Širok nabor zlonamernih zmožnosti, opaženih v XWorm RAT, vključuje tudi funkcijo beleženja tipk. Keylogging vključuje škodljiv postopek prikritega zajemanja in snemanja vseh vnosov s tipkovnice, ki jih izvede uporabnik v okuženem sistemu. To pomeni, da se gesla, poverilnice za prijavo, občutljiva sporočila in drugi osebni podatki prikrito posnamejo in prenesejo na napadalčev strežnik za ukaze in nadzor.
Poročilo o analizi
Splošne informacije
| Priimek: | Keylogger.XWormRAT |
|---|---|
| Stanje podpisa: | No Signature |
Znani vzorci
Znani vzorci
V tem razdelku so navedeni drugi vzorci datotek, za katere se domneva, da so povezani s to družino.|
MD5:
8393544e67726805f0c88ccda151372c
SHA1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Velikost datoteke:
2.97 MB , 2971648 bajtov
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
SHA1:
53c9351e354d5466b49786b2b6afafee30d822ee
SHA256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Velikost datoteke:
11.78 KB , 11776 bajtov
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
SHA1:
ce89172965fe3205dc28014db093c5c19a3e1236
SHA256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Velikost datoteke:
55.30 KB , 55296 bajtov
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
SHA1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Velikost datoteke:
44.54 KB , 44544 bajtov
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
SHA1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Velikost datoteke:
2.07 MB , 2074112 bajtov
|
Show 18 more
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
SHA1:
6a2f992055737bd58e936c01c86ed965034dce57
SHA256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Velikost datoteke:
265.73 KB , 265728 bajtov
|
|
MD5:
65d0a7755d74384f5055dd3b6af0cc4d
SHA1:
4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256:
6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
Velikost datoteke:
11.78 KB , 11776 bajtov
|
|
MD5:
60631806cffc9ef3b048d4d52b06fdb5
SHA1:
ab2f4dddb861207328134ed450c90def1b15f638
SHA256:
0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
Velikost datoteke:
40.96 KB , 40960 bajtov
|
|
MD5:
7800b8cc29632ba356e56836453e84fa
SHA1:
6b6daa1115657576393bb302ad0abd590f9d7549
SHA256:
51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
Velikost datoteke:
2.91 MB , 2908304 bajtov
|
|
MD5:
8517680e669d6b3d634a7592f0af9ff4
SHA1:
b5440419d839306a35cadb26e4f1ea6e243da7f9
SHA256:
BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
Velikost datoteke:
60.42 KB , 60416 bajtov
|
|
MD5:
6352569fc1f1e4763650ec5b7b3371ff
SHA1:
7fef3755e9f9293c1c879cb2408ac8877cda7ebd
SHA256:
9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
Velikost datoteke:
1.44 MB , 1436545 bajtov
|
|
MD5:
1aed592e6a6f6747104f8f2dfdc48100
SHA1:
e80d90230e3bfa7c1ed032677e5ac137830723d6
SHA256:
F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
Velikost datoteke:
1.24 MB , 1244672 bajtov
|
|
MD5:
bdabe0c54c8dde931a5e08785b3d258f
SHA1:
004fe676d3fe98633c5cc4a12668a554a4f316b0
SHA256:
164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
Velikost datoteke:
2.07 MB , 2067456 bajtov
|
|
MD5:
b1a07aae097a8481ee3c61392ac8bce1
SHA1:
f3361d200b7469bcd5082e3f0c71c51a6fb44273
SHA256:
9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
Velikost datoteke:
2.71 MB , 2706944 bajtov
|
|
MD5:
09fc5f8cc8c466649bc5c88e4f204d05
SHA1:
745a6634ca8c388474200d4fda85499ea39f5b7c
SHA256:
FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
Velikost datoteke:
36.35 KB , 36352 bajtov
|
|
MD5:
346bbb4260171d4488640eaa17a42d69
SHA1:
165553fcb9f8c39dd9308f0c84928443f006610a
SHA256:
239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
Velikost datoteke:
2.76 MB , 2755072 bajtov
|
|
MD5:
16fa945e7f8916993e14899fc15bc570
SHA1:
8d0e181866a6e46e60de1c525bcb6cf37606fc90
SHA256:
E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
Velikost datoteke:
1.44 MB , 1441072 bajtov
|
|
MD5:
db3012484135ac6e57c403cd5a313628
SHA1:
bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
SHA256:
D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
Velikost datoteke:
2.83 MB , 2826240 bajtov
|
|
MD5:
335eecbd15076a753aef8e5351d6456d
SHA1:
be9f1b5e7deb420be48fc1662e875a45f758e4d5
SHA256:
906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
Velikost datoteke:
2.79 MB , 2792960 bajtov
|
|
MD5:
92289f257bee2b88608966ef3766a56b
SHA1:
fade887fc0a449b08f90febd81e40efa3e464f67
SHA256:
9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
Velikost datoteke:
264.70 KB , 264704 bajtov
|
|
MD5:
eb8058e2448712e4d0cd7ac1f774d509
SHA1:
51e551aa4c96c274eb9dae243c9b2feb9899b7dd
SHA256:
A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
Velikost datoteke:
67.07 KB , 67072 bajtov
|
|
MD5:
2bc7095ba09bb4dd46fe5753971e72da
SHA1:
b9823c2097ee09cdca5f697a022f5d2d4f832cff
SHA256:
5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
Velikost datoteke:
68.10 KB , 68096 bajtov
|
|
MD5:
9e389b1bb9cd763e730a537fc4090a36
SHA1:
1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
SHA256:
25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
Velikost datoteke:
40.96 KB , 40960 bajtov
|
Atributi prenosnih izvedljivih datotek sistema Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Ikone datotek
Ikone datotek
V tem razdelku so prikazani viri ikon, ki jih najdemo v vzorcih družin. Zlonamerna programska oprema pogosto posnema ikone, ki so običajno povezane z legitimno programsko opremo, da bi uporabnike zavedla v prepričanje, da je zlonamerna programska oprema varna.
Informacije o različici sistema Windows PE
Informacije o različici sistema Windows PE
V tem razdelku so prikazane vrednosti in atributi, ki so bili nastavljeni v podatkovni strukturi z informacijami o različici datotek sistema Windows za vzorce znotraj te družine. Da bi zavedli uporabnike, akterji zlonamerne programske opreme pogosto dodajo lažne informacije o različici, ki posnemajo legitimno programsko opremo.| Ime | vrednost |
|---|---|
| Assembly Version |
|
| Comments |
|
| Company Name |
|
| File Description |
Show 2 more
|
| File Version |
|
| Internal Name |
Show 11 more
|
| Legal Copyright |
|
| Legal Trademarks | Trademarks (R) 2017 Captain Sim |
| Original Filename |
Show 11 more
|
| Product Name |
Show 4 more
|
| Product Version |
|
Digitalni podpisi
Digitalni podpisi
V tem razdelku so navedeni digitalni podpisi, ki so priloženi vzorcem znotraj te družine. Pri analizi in preverjanju digitalnih podpisov je pomembno potrditi, da je korenski overitelj podpisa dobro znana in zaupanja vredna entiteta ter da je stanje podpisa dobro. Zlonamerna programska oprema je pogosto podpisana z nezanesljivimi digitalnimi podpisi »Samopodpisani« (ki jih lahko avtor zlonamerne programske opreme zlahka ustvari brez preverjanja). Zlonamerno programsko opremo lahko podpišejo tudi legitimni podpisi z neveljavnim stanjem in podpisi vprašljivih korenskih overiteljev z lažnimi ali zavajajočimi imeni »podpisnika«.| Podpisnik | Koren | Stanje |
|---|---|---|
| UnlockClient.co | UnlockClient.co | Self Signed |
Lastnosti datotek
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show 1 more
- x86
Informacije o bloku
Informacije o bloku
Med analizo EnigmaSoft razdeli vzorce datotek v logične bloke za razvrščanje in primerjavo z drugimi vzorci. Bloke je mogoče uporabiti za ustvarjanje pravil za zaznavanje zlonamerne programske opreme in za združevanje vzorcev datotek v družine na podlagi skupne izvorne kode, funkcionalnosti in drugih razlikovalnih atributov in značilnosti. Ta razdelek navaja povzetek podatkov o teh blokih ter njihovo razvrstitev s strani EnigmaSofta. Prikazana je tudi vizualna predstavitev podatkov o blokih, kjer je na voljo.| Skupno število blokov: | 92 |
|---|---|
| Potencialno zlonamerni bloki: | 0 |
| Bloki na belem seznamu: | 69 |
| Neznani bloki: | 23 |
Vizualni zemljevid
? - Neznan blok
x - Potencialno zlonamerna blokada
Podobne družine
Podobne družine
V tem razdelku so navedene druge družine, ki imajo podobnosti s to družino, na podlagi analize EnigmaSoft. Številne družine zlonamerne programske opreme so ustvarjene iz istih kompletov orodij za zlonamerno programsko opremo in uporabljajo enake tehnike pakiranja in šifriranja, vendar edinstveno razširjajo funkcionalnost. Podobne družine si lahko delijo tudi izvorno kodo, atribute, ikone, podkomponente, ogrožene in/ali neveljavne digitalne podpise ter omrežne značilnosti. Raziskovalci izkoriščajo te podobnosti za hitro in učinkovito triažo vzorcev datotek ter razširitev pravil za zaznavanje zlonamerne programske opreme.- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.LD
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
Show 4 more
- MSIL.Krypt.UJB
- MSIL.Kryptik.AR
- MSIL.Kryptik.UJA
- MSIL.Rozena.GG
Spremenjene datoteke
Spremenjene datoteke
V tem razdelku so navedene datoteke, ki so jih vzorci v tej družini ustvarili, spremenili, premaknili in/ali izbrisali. Dejavnost datotečnega sistema lahko zagotovi dragocen vpogled v delovanje zlonamerne programske opreme v operacijskem sistemu.| Datoteka | Atributi |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\sirdur.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\chromeupdate.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\svchost.exe | Generic Write,Read Attributes |
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
Spremembe registra
Spremembe registra
V tem razdelku so navedeni ključi in vrednosti registra, ki so jih ustvarili, spremenili in/ali izbrisali vzorci v tej družini. Dejavnost registra sistema Windows lahko zagotovi dragocen vpogled v delovanje zlonamerne programske opreme. Poleg tega zlonamerna programska oprema pogosto ustvari vrednosti registra, da se lahko samodejno zažene in za nedoločen čas obstaja po tem, ko je začetna okužba ogrozila sistem.| Ključ::Vrednost | Podatki | Ime API-ja |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show 4 more
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Uporaba API-ja za Windows
Uporaba API-ja za Windows
V tem razdelku so navedeni klici Windows API-ja, ki jih uporabljajo vzorci v tej družini. Analiza uporabe Windows API-ja je dragoceno orodje, ki lahko pomaga prepoznati zlonamerne dejavnosti, kot so beleženje tipk, stopnjevanje varnostnih privilegijev, šifriranje podatkov, izsiljevanje podatkov, motnje v protivirusni programski opremi in manipulacija omrežnih zahtev.| Kategorija | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show 90 more
8 dodatnih elementov ni prikazanih zgoraj. |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|