XWorm RAT
ดัชนีชี้วัดภัยคุกคาม
EnigmaSoft Threat Scorecard
EnigmaSoft Threat Scorecards เป็นรายงานการประเมินภัยคุกคามมัลแวร์ต่างๆ ซึ่งรวบรวมและวิเคราะห์โดยทีมวิจัยของเรา EnigmaSoft Threat Scorecards ประเมินและจัดอันดับภัยคุกคามโดยใช้เมตริกต่างๆ รวมถึงปัจจัยเสี่ยงในโลกแห่งความเป็นจริงและที่อาจเกิดขึ้น แนวโน้ม ความถี่ ความชุก และการคงอยู่ EnigmaSoft Threat Scorecards ได้รับการอัปเดตเป็นประจำตามข้อมูลการวิจัยและเมตริกของเรา และมีประโยชน์สำหรับผู้ใช้คอมพิวเตอร์หลากหลายประเภท ตั้งแต่ผู้ใช้ปลายทางที่กำลังมองหาโซลูชันเพื่อลบมัลแวร์ออกจากระบบของพวกเขา ไปจนถึงผู้เชี่ยวชาญด้านความปลอดภัยที่วิเคราะห์ภัยคุกคาม
EnigmaSoft Threat Scorecards แสดงข้อมูลที่เป็นประโยชน์มากมาย รวมถึง:
อันดับความนิยม: การจัดอันดับภัยคุกคามเฉพาะรายการในฐานข้อมูลภัยคุกคามของ EnigmaSoft
ระดับความรุนแรง: ระดับความ รุนแรงที่กำหนดของวัตถุ ซึ่งแสดงเป็นตัวเลข โดยอิงตามกระบวนการสร้างแบบจำลองความเสี่ยงและการวิจัยตามที่อธิบายไว้ใน เกณฑ์การประเมินภัยคุกคาม
คอมพิวเตอร์ที่ติดไวรัส: จำนวนกรณีที่ได้รับการยืนยันและสงสัยว่าเป็นภัยคุกคามเฉพาะที่ตรวจพบในคอมพิวเตอร์ที่ติดไวรัสตามที่ SpyHunter รายงาน
ดูเพิ่มเติมที่ เกณฑ์การประเมินภัยคุกคาม
| อันดับความนิยม: | 6,045 |
| ระดับภัยคุกคาม: | 80 % (สูง) |
| คอมพิวเตอร์ที่ติดเชื้อ: | 419 |
| เห็นครั้งแรก: | April 24, 2023 |
| ครั้งสุดท้ายที่เจอ: | November 6, 2026 |
| ระบบปฏิบัติการที่ได้รับผลกระทบ: | Windows |
มัลแวร์ XWorm ถูกระบุว่าเป็นภัยคุกคามจากหมวด Remote Access Trojan (RAT) RAT ได้รับการออกแบบมาโดยเฉพาะเพื่อให้อาชญากรไซเบอร์เข้าถึงและควบคุมคอมพิวเตอร์ของเหยื่อโดยไม่ได้รับอนุญาต ด้วยการใช้ RAT ผู้โจมตีสามารถตรวจสอบและสังเกตกิจกรรมของผู้ใช้จากระยะไกล ขโมยข้อมูลที่ละเอียดอ่อน และดำเนินการที่เป็นอันตรายได้หลากหลายบนระบบที่ถูกบุกรุก ทั้งนี้ขึ้นอยู่กับเป้าหมายเฉพาะของพวกเขา ตามที่นักวิจัย XWorm RAT เสนอขายโดยนักพัฒนาที่ราคา $400
สารบัญ
XWorm RAT สามารถขโมยข้อมูลที่ละเอียดอ่อนได้หลากหลาย
XWorm RAT มีความสามารถมากมายที่ทำให้เป็นภัยคุกคามที่ซับซ้อนและอันตรายในมือของอาชญากรไซเบอร์ หนึ่งในฟังก์ชันหลักคือความสามารถในการขโมยข้อมูลระบบที่มีค่าจากคอมพิวเตอร์ของเหยื่ออย่างลับๆ RAT สามารถขโมยข้อมูลที่ละเอียดอ่อนจากเบราว์เซอร์ยอดนิยม XWorm สามารถแยกรหัสผ่าน คุกกี้ รายละเอียดบัตรเครดิต บุ๊กมาร์ก การดาวน์โหลด คำสำคัญ และประวัติการเรียกดูจากเบราว์เซอร์ Chromium ในทำนองเดียวกัน มันสามารถขโมยรหัสผ่าน คุกกี้ บุ๊กมาร์ก และประวัติจากเบราว์เซอร์ Firefox ทำให้ความปลอดภัยของกิจกรรมออนไลน์ของเหยื่อลดลงอย่างมาก
ยิ่งไปกว่านั้น ความสามารถของ XWorm ยังรวมถึงการกำหนดเป้าหมายแอปพลิเคชันและบริการต่างๆ มันสามารถขโมยข้อมูลเซสชัน Telegram, โทเค็น Discord, รหัสผ่าน WiFi, ข้อมูล Metamask และ FileZilla นอกจากนี้ XWorm ยังสามารถเข้าถึง Registry Editor, บันทึกการกดแป้นพิมพ์, รันแรนซัมแวร์เพื่อเข้ารหัสไฟล์และเรียกค่าไถ่ และจัดการข้อมูลคลิปบอร์ด บริการ และกระบวนการต่างๆ
นอกเหนือจากการขโมยข้อมูลแล้ว XWorm ยังมีความสามารถในการเรียกใช้ไฟล์ ทำให้ผู้โจมตีมีอำนาจในการเรียกใช้โปรแกรมที่เป็นอันตรายและเพย์โหลดบนระบบที่ถูกบุกรุก นอกจากนี้ โทรจันยังสามารถเข้าถึงเว็บแคมและไมโครโฟนของเหยื่อโดยไม่ได้รับอนุญาต ก่อให้เกิดการบุกรุกความเป็นส่วนตัวอย่างมาก และทำให้ผู้โจมตีสามารถตรวจสอบกิจกรรมของเหยื่อได้ การเข้าถึงของ XWorm ขยายออกไปอีก เนื่องจากสามารถเปิด URL เรียกใช้คำสั่งเชลล์ และจัดการไฟล์ ทำให้ผู้โจมตีสามารถควบคุมคอมพิวเตอร์ของเหยื่อได้อย่างสมบูรณ์
ผู้โจมตียังสามารถใช้ XWorm เพื่อเปิดหรือปิดส่วนประกอบและคุณสมบัติที่สำคัญของระบบ เช่น User Account Control (UAC), Registry Editor, Task Manager, Firewall และการอัปเดตระบบ ความสามารถในการเรียกใช้ Blue Screen of Death (BSoD) จะเพิ่มการหยุดชะงักและความเสียหายที่อาจเกิดขึ้นกับระบบของเหยื่ออีกชั้นหนึ่ง
XWorm RAT สามารถใช้เพื่อส่ง Ransomware Payloads บนอุปกรณ์ที่ถูกละเมิด
ความสามารถที่สำคัญอย่างหนึ่งของ XWorm คือความสามารถในการโจมตีแรนซัมแวร์ แรนซัมแวร์กำลังคุกคามซอฟต์แวร์ที่เข้ารหัสไฟล์ ทำให้ไม่สามารถเข้าถึงได้หากไม่มีคีย์ถอดรหัสเฉพาะ ต่อจากนั้น เจ้าหน้าที่ของ XWorm สามารถเรียกชำระเงินจากเหยื่อเพื่อแลกกับการจัดหาซอฟต์แวร์ถอดรหัสที่จำเป็นเพื่อเข้าถึงไฟล์ที่เข้ารหัสได้อีกครั้ง
นอกจากนี้ยังพบว่า XWorm ถูกใช้โดยอาชญากรไซเบอร์เพื่อขโมยคลิปบอร์ด เทคนิคนี้เกี่ยวข้องกับการตรวจสอบมัลแวร์และการสกัดกั้นข้อมูลที่คัดลอกไปยังคลิปบอร์ดของเหยื่อ โดยมุ่งเน้นที่การแทนที่ที่อยู่กระเป๋าเงินดิจิตอล ตัวอย่างเช่น หากเหยื่อคัดลอก Bitcoin, Ethereum หรือที่อยู่กระเป๋าเงินดิจิตอลอื่น ๆ XWorm จะตรวจจับข้อมูลและแทนที่ด้วยที่อยู่กระเป๋าเงินที่อาชญากรไซเบอร์เป็นเจ้าของ ดังนั้น ผู้ที่ตกเป็นเหยื่อจึงส่งเงินไปยังกระเป๋าเงินของแฮ็กเกอร์โดยไม่เจตนา แทนที่จะส่งไปยังที่อยู่ของผู้รับ
ขอบเขตของความสามารถที่เป็นอันตรายที่พบใน XWorm RAT ยังรวมถึงฟังก์ชันการล็อกปุ่มด้วย การล็อกคีย์เกี่ยวข้องกับกระบวนการที่เป็นอันตรายในการดักจับและบันทึกอินพุตจากแป้นพิมพ์ทั้งหมดที่ผู้ใช้ทำบนระบบที่ติดไวรัสอย่างลับๆ ซึ่งหมายความว่ารหัสผ่าน ข้อมูลรับรองการเข้าสู่ระบบ ข้อความที่ละเอียดอ่อน และข้อมูลส่วนบุคคลอื่นๆ จะถูกบันทึกอย่างลับๆ และส่งไปยังเซิร์ฟเวอร์ Command and Control ของผู้โจมตี
รายงานการวิเคราะห์
ข้อมูลทั่วไป
| นามสกุล: | Keylogger.XWormRAT |
|---|---|
| สถานะลายเซ็น: | No Signature |
ตัวอย่างที่ทราบแล้ว
ตัวอย่างที่ทราบแล้ว
ส่วนนี้แสดงตัวอย่างไฟล์อื่นๆ ที่เชื่อว่าเกี่ยวข้องกับครอบครัวนี้|
MD5:
8393544e67726805f0c88ccda151372c
เอสเอชเอ1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
เอสเอชเอ256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
ขนาดไฟล์:
2.97 MB , 2971648 ไบต์
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
เอสเอชเอ1:
53c9351e354d5466b49786b2b6afafee30d822ee
เอสเอชเอ256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
ขนาดไฟล์:
11.78 KB , 11776 ไบต์
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
เอสเอชเอ1:
ce89172965fe3205dc28014db093c5c19a3e1236
เอสเอชเอ256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
ขนาดไฟล์:
55.30 KB , 55296 ไบต์
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
เอสเอชเอ1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
เอสเอชเอ256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
ขนาดไฟล์:
44.54 KB , 44544 ไบต์
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
เอสเอชเอ1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
เอสเอชเอ256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
ขนาดไฟล์:
2.07 MB , 2074112 ไบต์
|
Show 18 more
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
เอสเอชเอ1:
6a2f992055737bd58e936c01c86ed965034dce57
เอสเอชเอ256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
ขนาดไฟล์:
265.73 KB , 265728 ไบต์
|
|
MD5:
65d0a7755d74384f5055dd3b6af0cc4d
เอสเอชเอ1:
4c5fc802b2fd21968cd23e8ccf670f047b2d886e
เอสเอชเอ256:
6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
ขนาดไฟล์:
11.78 KB , 11776 ไบต์
|
|
MD5:
60631806cffc9ef3b048d4d52b06fdb5
เอสเอชเอ1:
ab2f4dddb861207328134ed450c90def1b15f638
เอสเอชเอ256:
0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
ขนาดไฟล์:
40.96 KB , 40960 ไบต์
|
|
MD5:
7800b8cc29632ba356e56836453e84fa
เอสเอชเอ1:
6b6daa1115657576393bb302ad0abd590f9d7549
เอสเอชเอ256:
51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
ขนาดไฟล์:
2.91 MB , 2908304 ไบต์
|
|
MD5:
8517680e669d6b3d634a7592f0af9ff4
เอสเอชเอ1:
b5440419d839306a35cadb26e4f1ea6e243da7f9
เอสเอชเอ256:
BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
ขนาดไฟล์:
60.42 KB , 60416 ไบต์
|
|
MD5:
6352569fc1f1e4763650ec5b7b3371ff
เอสเอชเอ1:
7fef3755e9f9293c1c879cb2408ac8877cda7ebd
เอสเอชเอ256:
9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
ขนาดไฟล์:
1.44 MB , 1436545 ไบต์
|
|
MD5:
1aed592e6a6f6747104f8f2dfdc48100
เอสเอชเอ1:
e80d90230e3bfa7c1ed032677e5ac137830723d6
เอสเอชเอ256:
F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
ขนาดไฟล์:
1.24 MB , 1244672 ไบต์
|
|
MD5:
bdabe0c54c8dde931a5e08785b3d258f
เอสเอชเอ1:
004fe676d3fe98633c5cc4a12668a554a4f316b0
เอสเอชเอ256:
164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
ขนาดไฟล์:
2.07 MB , 2067456 ไบต์
|
|
MD5:
b1a07aae097a8481ee3c61392ac8bce1
เอสเอชเอ1:
f3361d200b7469bcd5082e3f0c71c51a6fb44273
เอสเอชเอ256:
9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
ขนาดไฟล์:
2.71 MB , 2706944 ไบต์
|
|
MD5:
09fc5f8cc8c466649bc5c88e4f204d05
เอสเอชเอ1:
745a6634ca8c388474200d4fda85499ea39f5b7c
เอสเอชเอ256:
FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
ขนาดไฟล์:
36.35 KB , 36352 ไบต์
|
|
MD5:
346bbb4260171d4488640eaa17a42d69
เอสเอชเอ1:
165553fcb9f8c39dd9308f0c84928443f006610a
เอสเอชเอ256:
239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
ขนาดไฟล์:
2.76 MB , 2755072 ไบต์
|
|
MD5:
16fa945e7f8916993e14899fc15bc570
เอสเอชเอ1:
8d0e181866a6e46e60de1c525bcb6cf37606fc90
เอสเอชเอ256:
E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
ขนาดไฟล์:
1.44 MB , 1441072 ไบต์
|
|
MD5:
db3012484135ac6e57c403cd5a313628
เอสเอชเอ1:
bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
เอสเอชเอ256:
D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
ขนาดไฟล์:
2.83 MB , 2826240 ไบต์
|
|
MD5:
335eecbd15076a753aef8e5351d6456d
เอสเอชเอ1:
be9f1b5e7deb420be48fc1662e875a45f758e4d5
เอสเอชเอ256:
906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
ขนาดไฟล์:
2.79 MB , 2792960 ไบต์
|
|
MD5:
92289f257bee2b88608966ef3766a56b
เอสเอชเอ1:
fade887fc0a449b08f90febd81e40efa3e464f67
เอสเอชเอ256:
9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
ขนาดไฟล์:
264.70 KB , 264704 ไบต์
|
|
MD5:
eb8058e2448712e4d0cd7ac1f774d509
เอสเอชเอ1:
51e551aa4c96c274eb9dae243c9b2feb9899b7dd
เอสเอชเอ256:
A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
ขนาดไฟล์:
67.07 KB , 67072 ไบต์
|
|
MD5:
2bc7095ba09bb4dd46fe5753971e72da
เอสเอชเอ1:
b9823c2097ee09cdca5f697a022f5d2d4f832cff
เอสเอชเอ256:
5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
ขนาดไฟล์:
68.10 KB , 68096 ไบต์
|
|
MD5:
9e389b1bb9cd763e730a537fc4090a36
เอสเอชเอ1:
1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
เอสเอชเอ256:
25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
ขนาดไฟล์:
40.96 KB , 40960 ไบต์
|
คุณสมบัติของไฟล์ปฏิบัติการพกพาของ Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
ไอคอนไฟล์
ไอคอนไฟล์
ส่วนนี้แสดงไอคอนต่างๆ ที่พบในตัวอย่างตระกูลมัลแวร์ มัลแวร์มักจำลองไอคอนที่มักพบในซอฟต์แวร์ที่ถูกต้องตามกฎหมาย เพื่อหลอกให้ผู้ใช้เข้าใจผิดว่ามัลแวร์นั้นปลอดภัย
ข้อมูลเวอร์ชัน Windows PE
ข้อมูลเวอร์ชัน Windows PE
ส่วนนี้แสดงค่าและคุณลักษณะที่ถูกกำหนดไว้ในโครงสร้างข้อมูลเวอร์ชันไฟล์ของ Windows สำหรับตัวอย่างในตระกูลนี้ เพื่อหลอกลวงผู้ใช้ ผู้ก่อมัลแวร์มักเพิ่มข้อมูลเวอร์ชันปลอมที่เลียนแบบซอฟต์แวร์ที่ถูกต้อง| ชื่อ | ค่า |
|---|---|
| Assembly Version |
|
| Comments |
|
| Company Name |
|
| File Description |
Show 2 more
|
| File Version |
|
| Internal Name |
Show 11 more
|
| Legal Copyright |
|
| Legal Trademarks | Trademarks (R) 2017 Captain Sim |
| Original Filename |
Show 11 more
|
| Product Name |
Show 4 more
|
| Product Version |
|
ลายเซ็นดิจิทัล
ลายเซ็นดิจิทัล
ส่วนนี้แสดงรายการลายเซ็นดิจิทัลที่แนบมากับตัวอย่างภายในตระกูลนี้ เมื่อวิเคราะห์และตรวจสอบลายเซ็นดิจิทัล สิ่งสำคัญคือต้องยืนยันว่าหน่วยงานที่ออกลายเซ็นนั้นเป็นหน่วยงานที่เป็นที่รู้จักและน่าเชื่อถือ และสถานะของลายเซ็นนั้นถูกต้อง มัลแวร์มักลงนามด้วยลายเซ็นดิจิทัล "ลงนามด้วยตนเอง" ที่ไม่น่าเชื่อถือ (ซึ่งผู้สร้างมัลแวร์สามารถสร้างขึ้นได้ง่ายโดยไม่ต้องตรวจสอบ) มัลแวร์อาจลงนามด้วยลายเซ็นที่ถูกต้องตามกฎหมายแต่มีสถานะไม่ถูกต้อง และด้วยลายเซ็นจากหน่วยงานที่น่าสงสัยซึ่งมีชื่อ "ผู้ลงนาม" ปลอมหรือทำให้เข้าใจผิด| ผู้ลงนาม | ราก | สถานะ |
|---|---|---|
| UnlockClient.co | UnlockClient.co | Self Signed |
คุณลักษณะของไฟล์
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show 1 more
- x86
ข้อมูลบล็อก
ข้อมูลบล็อก
ในระหว่างการวิเคราะห์ EnigmaSoft จะแบ่งไฟล์ตัวอย่างออกเป็นบล็อกเชิงตรรกะเพื่อการจัดประเภทและเปรียบเทียบกับตัวอย่างอื่นๆ บล็อกเหล่านี้สามารถใช้สร้างกฎการตรวจจับมัลแวร์และจัดกลุ่มไฟล์ตัวอย่างเป็นตระกูลตามซอร์สโค้ดที่ใช้ร่วมกัน ฟังก์ชันการทำงาน และคุณลักษณะและลักษณะเด่นอื่นๆ ส่วนนี้แสดงสรุปข้อมูลบล็อกเหล่านี้ รวมถึงการจัดประเภทโดย EnigmaSoft นอกจากนี้ยังแสดงภาพข้อมูลบล็อกหากมีให้ใช้งาน| จำนวนบล็อกทั้งหมด: | 92 |
|---|---|
| การบล็อกที่อาจเป็นอันตราย: | 0 |
| บล็อกที่อนุญาต: | 69 |
| บล็อกที่ไม่รู้จัก: | 23 |
แผนที่ภาพ
? - บล็อกที่ไม่รู้จัก
x - บล็อกที่อาจเป็นอันตราย
ครอบครัวที่คล้ายคลึงกัน
ครอบครัวที่คล้ายคลึงกัน
ส่วนนี้แสดงรายการตระกูลมัลแวร์อื่นๆ ที่มีความคล้ายคลึงกับตระกูลนี้ โดยอิงจากการวิเคราะห์ของ EnigmaSoft ตระกูลมัลแวร์หลายตระกูลถูกสร้างขึ้นจากชุดเครื่องมือมัลแวร์เดียวกัน และใช้เทคนิคการบรรจุและการเข้ารหัสแบบเดียวกัน แต่มีการขยายฟังก์ชันการทำงานที่แตกต่างกันออกไป ตระกูลที่คล้ายคลึงกันอาจมีซอร์สโค้ด คุณลักษณะ ไอคอน ส่วนประกอบย่อย ลายเซ็นดิจิทัลที่ถูกบุกรุกและ/หรือไม่ถูกต้อง และลักษณะเครือข่ายร่วมกัน นักวิจัยใช้ประโยชน์จากความคล้ายคลึงเหล่านี้เพื่อคัดกรองตัวอย่างไฟล์และขยายกฎการตรวจจับมัลแวร์ได้อย่างรวดเร็วและมีประสิทธิภาพ- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.LD
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
Show 4 more
- MSIL.Krypt.UJB
- MSIL.Kryptik.AR
- MSIL.Kryptik.UJA
- MSIL.Rozena.GG
ไฟล์ที่แก้ไข
ไฟล์ที่แก้ไข
ส่วนนี้แสดงรายการไฟล์ที่ถูกสร้าง แก้ไข ย้าย และ/หรือลบโดยตัวอย่างในตระกูลนี้ กิจกรรมของระบบไฟล์สามารถให้ข้อมูลเชิงลึกที่มีค่าเกี่ยวกับวิธีการทำงานของมัลแวร์บนระบบปฏิบัติการได้| ไฟล์ | คุณลักษณะ |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\sirdur.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\chromeupdate.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\svchost.exe | Generic Write,Read Attributes |
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
การแก้ไขรีจิสทรี
การแก้ไขรีจิสทรี
ส่วนนี้แสดงรายการคีย์และค่ารีจิสทรีที่ถูกสร้าง แก้ไข และ/หรือลบโดยตัวอย่างในตระกูลนี้ กิจกรรมในรีจิสทรีของ Windows สามารถให้ข้อมูลเชิงลึกที่มีค่าเกี่ยวกับการทำงานของมัลแวร์ นอกจากนี้ มัลแวร์มักสร้างค่ารีจิสทรีเพื่อให้ตัวเองสามารถเริ่มต้นทำงานโดยอัตโนมัติและคงอยู่ได้อย่างไม่มีกำหนดหลังจากที่ระบบถูกบุกรุกในครั้งแรก| คีย์::ค่า | ข้อมูล | ชื่อ API |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show 4 more
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
การใช้งาน Windows API
การใช้งาน Windows API
ส่วนนี้แสดงรายการการเรียกใช้ API ของ Windows ที่ใช้โดยตัวอย่างในตระกูลนี้ การวิเคราะห์การใช้งาน API ของ Windows เป็นเครื่องมือที่มีประโยชน์ซึ่งสามารถช่วยระบุการกระทำที่เป็นอันตราย เช่น การดักจับแป้นพิมพ์ การยกระดับสิทธิ์การรักษาความปลอดภัย การเข้ารหัสข้อมูล การขโมยข้อมูล การรบกวนซอฟต์แวร์ป้องกันไวรัส และการจัดการคำขอเครือข่าย| หมวดหมู่ | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show 90 more
รายการเพิ่มเติม 8 จะไม่แสดงด้านบน |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|