XWorm RAT
Картка показників загроз
EnigmaSoft Threat Scorecard
EnigmaSoft Threat Scorecards – це звіти про оцінку різних загроз зловмисного програмного забезпечення, які були зібрані та проаналізовані нашою дослідницькою групою. EnigmaSoft Threat Scorecards оцінює та ранжує загрози за допомогою кількох показників, включаючи реальні та потенційні фактори ризику, тенденції, частоту, поширеність та стійкість. EnigmaSoft Threat Scorecards регулярно оновлюються на основі даних наших досліджень і показників і є корисними для широкого кола користувачів комп’ютерів, від кінцевих користувачів, які шукають рішення для видалення зловмисного програмного забезпечення зі своїх систем, до експертів з безпеки, які аналізують загрози.
EnigmaSoft Threat Scorecards відображає різноманітну корисну інформацію, зокрема:
Рейтинг популярності: рейтинг певної загрози в базі даних загроз EnigmaSoft.
Рівень серйозності: визначений рівень серйозності об’єкта, представлений числово на основі нашого процесу моделювання ризиків і досліджень, як пояснюється в наших Критеріях оцінки загроз .
Заражені комп’ютери: кількість підтверджених і підозрюваних випадків певної загрози, виявленої на заражених комп’ютерах, як повідомляє SpyHunter.
Дивіться також Критерії оцінки загрози .
| Рейтинг популярності: | 6,045 |
| Рівень загрози: | 80 % (Високий) |
| Заражені комп’ютери: | 419 |
| Вперше побачили: | April 24, 2023 |
| Востаннє бачили: | November 6, 2026 |
| ОС (ОС), які постраждали: | Windows |
Зловмисне програмне забезпечення XWorm визначено як загроза з категорії троянів віддаленого доступу (RAT). RATs спеціально розроблені для забезпечення несанкціонованого доступу та контролю комп’ютера жертви кіберзлочинцями. За допомогою RAT зловмисники можуть дистанційно контролювати та спостерігати за діяльністю користувачів, викрадати конфіденційні дані та виконувати широкий спектр шкідливих операцій у скомпрометованій системі залежно від їхніх конкретних цілей. За словами дослідників, XWorm RAT виставляється на продаж розробниками за ціною 400 доларів.
Зміст
XWorm RAT може викрасти широкий спектр конфіденційної інформації
XWorm RAT має широкий набір можливостей, які роблять його надзвичайно складною та небезпечною загрозою в руках кіберзлочинців. Однією з його основних функцій є здатність непомітно викрасти цінну системну інформацію з комп’ютера жертви. RAT може викрасти конфіденційні дані з популярних браузерів. XWorm може видобувати паролі, файли cookie, дані кредитної картки, закладки, завантаження, ключові слова та історію веб-перегляду з браузерів Chromium. Подібним чином він може викрадати паролі, файли cookie, закладки та історію з браузерів Firefox, значно підриваючи безпеку онлайн-дій жертви.
Крім того, можливості XWorm охоплюють націлювання на різноманітні програми та служби. Він може викрасти дані сеансу Telegram, токени Discord, паролі WiFi, дані Metamask і FileZilla. Крім того, XWorm може отримувати доступ до редактора реєстру, реєструвати натискання клавіш, запускати програми-вимагачі для шифрування файлів і вимагати викуп, а також маніпулювати даними буфера обміну, службами та процесами.
Окрім крадіжки інформації, XWorm має можливість запускати файли, надаючи зловмисникам можливість запускати різноманітні шкідливі програми та корисні навантаження у скомпрометованій системі. Крім того, троян може отримати несанкціонований доступ до веб-камери та мікрофона жертви, створюючи значне втручання в конфіденційність і дозволяючи зловмисникам контролювати дії жертви. Діяльність XWorm розширюється ще більше, оскільки він може відкривати URL-адреси, виконувати команди оболонки та керувати файлами, фактично надаючи зловмисникам повний контроль над комп’ютером жертви.
Зловмисники навіть можуть використовувати XWorm, щоб увімкнути або вимкнути критичні системні компоненти та функції, такі як контроль облікових записів користувачів (UAC), редактор реєстру, диспетчер завдань, брандмауер та оновлення системи. Можливість викликати синій екран смерті (BSoD) додає ще один рівень збоїв і потенційної шкоди системі жертви.
XWorm RAT можна використовувати для доставки програм-вимагачів на зламані пристрої
Однією з важливих можливостей XWorm є його здатність здійснювати атаки програм-вимагачів. Програмне забезпечення-вимагач загрожує програмному забезпеченню, яке шифрує файли, роблячи їх недоступними без спеціального ключа дешифрування. Згодом оператори XWorm можуть вимагати від жертви оплату в обмін на надання необхідного програмного забезпечення для дешифрування для відновлення доступу до зашифрованих файлів.
Крім того, XWorm використовується кіберзлочинцями для викрадення буфера обміну. Ця техніка передбачає моніторинг шкідливих програм і перехоплення даних, скопійованих у буфер обміну жертви, з особливим акцентом на заміні адрес гаманців криптовалюти. Наприклад, якщо жертва копіює адресу гаманця Bitcoin, Ethereum або іншу криптовалюту, XWorm виявляє дані та замінює їх адресою гаманця, що належить кіберзлочинцям. Таким чином, жертви мимоволі надсилають свої кошти на гаманець хакерів замість адреси передбачуваного одержувача.
Широкий діапазон шкідливих можливостей, спостережуваних у XWorm RAT, також включає функцію клавіатурного журналу. Keylogging передбачає шкідливий процес таємного захоплення та запису всіх введених користувачем клавіатури в зараженій системі. Це означає, що паролі, облікові дані для входу, конфіденційні повідомлення та інша особиста інформація таємно записується та передається на сервер командування та керування зловмисника.
Звіт про аналіз
Загальна інформація
| Прізвище: | Keylogger.XWormRAT |
|---|---|
| Стан підпису: | No Signature |
Відомі зразки
Відомі зразки
У цьому розділі перелічено інші зразки файлів, які, як вважається, пов'язані з цією родиною.|
MD5:
8393544e67726805f0c88ccda151372c
SHA1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Розмір файлу:
2.97 MB , 2971648 байтів
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
SHA1:
53c9351e354d5466b49786b2b6afafee30d822ee
SHA256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Розмір файлу:
11.78 KB , 11776 байтів
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
SHA1:
ce89172965fe3205dc28014db093c5c19a3e1236
SHA256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Розмір файлу:
55.30 KB , 55296 байтів
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
SHA1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Розмір файлу:
44.54 KB , 44544 байтів
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
SHA1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Розмір файлу:
2.07 MB , 2074112 байтів
|
Show 18 more
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
SHA1:
6a2f992055737bd58e936c01c86ed965034dce57
SHA256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Розмір файлу:
265.73 KB , 265728 байтів
|
|
MD5:
65d0a7755d74384f5055dd3b6af0cc4d
SHA1:
4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256:
6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
Розмір файлу:
11.78 KB , 11776 байтів
|
|
MD5:
60631806cffc9ef3b048d4d52b06fdb5
SHA1:
ab2f4dddb861207328134ed450c90def1b15f638
SHA256:
0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
Розмір файлу:
40.96 KB , 40960 байтів
|
|
MD5:
7800b8cc29632ba356e56836453e84fa
SHA1:
6b6daa1115657576393bb302ad0abd590f9d7549
SHA256:
51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
Розмір файлу:
2.91 MB , 2908304 байтів
|
|
MD5:
8517680e669d6b3d634a7592f0af9ff4
SHA1:
b5440419d839306a35cadb26e4f1ea6e243da7f9
SHA256:
BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
Розмір файлу:
60.42 KB , 60416 байтів
|
|
MD5:
6352569fc1f1e4763650ec5b7b3371ff
SHA1:
7fef3755e9f9293c1c879cb2408ac8877cda7ebd
SHA256:
9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
Розмір файлу:
1.44 MB , 1436545 байтів
|
|
MD5:
1aed592e6a6f6747104f8f2dfdc48100
SHA1:
e80d90230e3bfa7c1ed032677e5ac137830723d6
SHA256:
F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
Розмір файлу:
1.24 MB , 1244672 байтів
|
|
MD5:
bdabe0c54c8dde931a5e08785b3d258f
SHA1:
004fe676d3fe98633c5cc4a12668a554a4f316b0
SHA256:
164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
Розмір файлу:
2.07 MB , 2067456 байтів
|
|
MD5:
b1a07aae097a8481ee3c61392ac8bce1
SHA1:
f3361d200b7469bcd5082e3f0c71c51a6fb44273
SHA256:
9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
Розмір файлу:
2.71 MB , 2706944 байтів
|
|
MD5:
09fc5f8cc8c466649bc5c88e4f204d05
SHA1:
745a6634ca8c388474200d4fda85499ea39f5b7c
SHA256:
FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
Розмір файлу:
36.35 KB , 36352 байтів
|
|
MD5:
346bbb4260171d4488640eaa17a42d69
SHA1:
165553fcb9f8c39dd9308f0c84928443f006610a
SHA256:
239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
Розмір файлу:
2.76 MB , 2755072 байтів
|
|
MD5:
16fa945e7f8916993e14899fc15bc570
SHA1:
8d0e181866a6e46e60de1c525bcb6cf37606fc90
SHA256:
E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
Розмір файлу:
1.44 MB , 1441072 байтів
|
|
MD5:
db3012484135ac6e57c403cd5a313628
SHA1:
bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
SHA256:
D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
Розмір файлу:
2.83 MB , 2826240 байтів
|
|
MD5:
335eecbd15076a753aef8e5351d6456d
SHA1:
be9f1b5e7deb420be48fc1662e875a45f758e4d5
SHA256:
906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
Розмір файлу:
2.79 MB , 2792960 байтів
|
|
MD5:
92289f257bee2b88608966ef3766a56b
SHA1:
fade887fc0a449b08f90febd81e40efa3e464f67
SHA256:
9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
Розмір файлу:
264.70 KB , 264704 байтів
|
|
MD5:
eb8058e2448712e4d0cd7ac1f774d509
SHA1:
51e551aa4c96c274eb9dae243c9b2feb9899b7dd
SHA256:
A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
Розмір файлу:
67.07 KB , 67072 байтів
|
|
MD5:
2bc7095ba09bb4dd46fe5753971e72da
SHA1:
b9823c2097ee09cdca5f697a022f5d2d4f832cff
SHA256:
5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
Розмір файлу:
68.10 KB , 68096 байтів
|
|
MD5:
9e389b1bb9cd763e730a537fc4090a36
SHA1:
1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
SHA256:
25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
Розмір файлу:
40.96 KB , 40960 байтів
|
Атрибути портативного виконуваного файлу Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Піктограми файлів
Піктограми файлів
У цьому розділі відображаються ресурси значків, знайдені у зразках сімейств. Шкідливе програмне забезпечення часто копіює значки, які зазвичай пов'язані з легітимним програмним забезпеченням, щоб ввести користувачів в оману, вважаючи, що шкідливе програмне забезпечення безпечне.
Інформація про версію Windows PE
Інформація про версію Windows PE
У цьому розділі відображаються значення та атрибути, встановлені в структурі даних інформації про версію файлу Windows для зразків у цьому сімействі. Щоб ввести користувачів в оману, шкідливі програми часто додають фальшиву інформацію про версію, імітуючи легітимне програмне забезпечення.| Ім'я | Значення |
|---|---|
| Assembly Version |
|
| Comments |
|
| Company Name |
|
| File Description |
Show 2 more
|
| File Version |
|
| Internal Name |
Show 11 more
|
| Legal Copyright |
|
| Legal Trademarks | Trademarks (R) 2017 Captain Sim |
| Original Filename |
Show 11 more
|
| Product Name |
Show 4 more
|
| Product Version |
|
Цифрові підписи
Цифрові підписи
У цьому розділі перелічено цифрові підписи, додані до зразків у межах цієї родини. Під час аналізу та перевірки цифрових підписів важливо підтвердити, що кореневий центр авторизації підпису є добре відомою та надійною сутністю, а також що статус підпису є належним. Шкідливе програмне забезпечення часто підписується ненадійними самопідписаними цифровими підписами (які автор шкідливого програмного забезпечення може легко створити без перевірки). Шкідливе програмне забезпечення також може бути підписано легітимними підписами, які мають недійсний статус, та підписами сумнівних кореневих центрів авторизації з фальшивими або оманливими іменами «Підписувачів».| Підписувач | Корінь | Статус |
|---|---|---|
| UnlockClient.co | UnlockClient.co | Self Signed |
Характеристики файлу
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show 1 more
- x86
Інформація про блок
Інформація про блок
Під час аналізу EnigmaSoft розбиває зразки файлів на логічні блоки для класифікації та порівняння з іншими зразками. Блоки можна використовувати для створення правил виявлення шкідливого програмного забезпечення та групування зразків файлів у сімейства на основі спільного вихідного коду, функціональності та інших відмінних атрибутів і характеристик. У цьому розділі наведено короткий опис даних цих блоків, а також їх класифікацію EnigmaSoft. Також відображається візуальне представлення даних блоків, де це можливо.| Всього блоків: | 92 |
|---|---|
| Потенційно шкідливі блоки: | 0 |
| Блоки в білому списку: | 69 |
| Невідомі блоки: | 23 |
Візуальна карта
? – Невідомий блок
x – Потенційно шкідливий блок
Схожі родини
Схожі родини
У цьому розділі перераховано інші сімейства, які мають спільні риси з цим сімейством, на основі аналізу EnigmaSoft. Багато сімейств шкідливих програм створюються з тих самих інструментів для розробки шкідливих програм і використовують ті самі методи пакування та шифрування, але унікальним чином розширюють функціональність. Подібні сімейства також можуть мати спільний вихідний код, атрибути, значки, підкомпоненти, скомпрометовані та/або недійсні цифрові підписи та мережеві характеристики. Дослідники використовують ці спільні риси для швидкої та ефективної сортування зразків файлів та розширення правил виявлення шкідливих програм.- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.LD
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
Show 4 more
- MSIL.Krypt.UJB
- MSIL.Kryptik.AR
- MSIL.Kryptik.UJA
- MSIL.Rozena.GG
Змінені файли
Змінені файли
У цьому розділі перелічено файли, які були створені, змінені, переміщені та/або видалені зразками з цієї родини. Активність файлової системи може надати цінну інформацію про те, як шкідливе програмне забезпечення функціонує в операційній системі.| Файл | Атрибути |
|---|---|
| \device\namedpipe\gmdasllogger | Generic Write,Read Attributes |
| c:\users\user\appdata\local\sirdur.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\chromeupdate.exe | Generic Write,Read Attributes |
| c:\users\user\appdata\roaming\svchost.exe | Generic Write,Read Attributes |
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
Зміни в реєстрі
Зміни в реєстрі
У цьому розділі перелічені ключі та значення реєстру, які були створені, змінені та/або видалені зразками з цієї родини. Діяльність реєстру Windows може надати цінну інформацію про функціональність шкідливого програмного забезпечення. Крім того, шкідливе програмне забезпечення часто створює значення реєстру, щоб дозволити собі автоматично запускатися та безстроково існувати після того, як початкове зараження скомпрометувало систему.| Ключ::Значення | Дані | Назва API |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show 4 more
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Використання API Windows
Використання API Windows
У цьому розділі перелічено виклики Windows API, які використовуються зразками цієї родини. Аналіз використання Windows API – це цінний інструмент, який може допомогти виявити шкідливу активність, таку як кейлоггинг, ескалація привілеїв безпеки, шифрування даних, витік даних, втручання в антивірусне програмне забезпечення та маніпулювання мережевими запитами.| Категорія | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show 90 more
8 додаткових елементів не відображаються вище. |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|