XWorm RAT
Thẻ điểm Đe doạ
EnigmaSoft Threat Scorecard
EnigmaSoft Threat Scorecards là các báo cáo đánh giá các mối đe dọa phần mềm độc hại khác nhau đã được nhóm nghiên cứu của chúng tôi thu thập và phân tích. EnigmaSoft Threat Scorecards đánh giá và xếp hạng các mối đe dọa bằng cách sử dụng một số chỉ số bao gồm các yếu tố rủi ro trong thế giới thực và tiềm ẩn, xu hướng, tần suất, mức độ phổ biến và tính lâu dài. EnigmaSoft Threat Scorecards được cập nhật thường xuyên dựa trên dữ liệu và chỉ số nghiên cứu của chúng tôi và rất hữu ích cho nhiều người dùng máy tính, từ người dùng cuối đang tìm kiếm giải pháp loại bỏ phần mềm độc hại khỏi hệ thống của họ cho đến các chuyên gia bảo mật đang phân tích các mối đe dọa.
EnigmaSoft Threat Scorecards hiển thị nhiều thông tin hữu ích, bao gồm:
Popularity Rank: The ranking of a particular threat in EnigmaSoft’s Threat Database.
Mức độ nghiêm trọng: Mức độ nghiêm trọng được xác định của một đối tượng, được thể hiện bằng số, dựa trên quy trình và nghiên cứu lập mô hình rủi ro của chúng tôi, như được giải thích trong Tiêu chí đánh giá mối đe dọa của chúng tôi.
Máy tính bị nhiễm: Số trường hợp được xác nhận và nghi ngờ về một mối đe dọa cụ thể được phát hiện trên các máy tính bị nhiễm theo báo cáo của SpyHunter.
Xem thêm Tiêu chí Đánh giá Mối đe dọa .
| Popularity Rank: | 4,286 |
| Mức độ nguy hiểm: | 80 % (Cao) |
| Máy tính bị nhiễm: | 312 |
| Lần đầu tiên nhìn thấy: | April 24, 2023 |
| Nhìn thấy lần cuối: | January 22, 2026 |
| (Các) hệ điều hành bị ảnh hưởng: | Windows |
Phần mềm độc hại XWorm được xác định là mối đe dọa từ danh mục Trojan Truy cập Từ xa (RAT). RAT được thiết kế đặc biệt để cho phép tội phạm mạng truy cập và kiểm soát trái phép máy tính của nạn nhân. Với việc sử dụng RAT, kẻ tấn công có thể theo dõi và quan sát từ xa các hoạt động của người dùng, ăn cắp dữ liệu nhạy cảm và thực hiện một loạt các hoạt động độc hại trên hệ thống bị xâm nhập, tùy thuộc vào mục tiêu cụ thể của chúng. Theo các nhà nghiên cứu, XWorm RAT được các nhà phát triển của nó rao bán với mức giá 400 USD.
Mục lục
XWorm RAT có thể đánh cắp nhiều loại thông tin nhạy cảm
XWorm RAT sở hữu một loạt các khả năng khiến nó trở thành một mối đe dọa cực kỳ tinh vi và nguy hiểm trong tay tội phạm mạng. Một trong những chức năng chính của nó là khả năng đánh cắp thông tin hệ thống có giá trị từ máy tính của nạn nhân một cách lén lút. RAT có thể đánh cắp dữ liệu nhạy cảm từ các trình duyệt phổ biến. XWorm có thể trích xuất mật khẩu, cookie, chi tiết thẻ tín dụng, dấu trang, nội dung tải xuống, từ khóa và lịch sử duyệt web từ trình duyệt Chromium. Tương tự, nó có thể ăn cắp mật khẩu, cookie, dấu trang và lịch sử từ trình duyệt Firefox, làm tổn hại nghiêm trọng đến tính bảo mật của các hoạt động trực tuyến của nạn nhân.
Hơn nữa, các khả năng của XWorm bao gồm nhắm mục tiêu vào nhiều ứng dụng và dịch vụ. Nó có thể đánh cắp dữ liệu phiên Telegram, mã thông báo Discord, mật khẩu WiFi, dữ liệu Metamask và FileZilla. Ngoài ra, XWorm có thể truy cập Registry Editor, ghi nhật ký các lần gõ phím, chạy phần mềm tống tiền để mã hóa tệp và yêu cầu tiền chuộc, đồng thời thao tác dữ liệu, dịch vụ và quy trình trong khay nhớ tạm.
Ngoài hành vi đánh cắp thông tin, XWorm còn có khả năng thực thi các tệp, cấp cho kẻ tấn công quyền chạy các chương trình độc hại và tải trọng khác nhau trên hệ thống bị xâm nhập. Ngoài ra, Trojan có thể truy cập trái phép vào webcam và micrô của nạn nhân, gây ra sự xâm phạm đáng kể quyền riêng tư và cho phép kẻ tấn công giám sát các hoạt động của nạn nhân. Phạm vi tiếp cận của XWorm còn mở rộng hơn nữa vì nó có thể mở URL, thực thi lệnh shell và quản lý tệp, giúp kẻ tấn công kiểm soát hoàn toàn máy tính của nạn nhân một cách hiệu quả.
Những kẻ tấn công thậm chí có thể sử dụng XWorm để bật hoặc tắt các thành phần và tính năng quan trọng của hệ thống như Kiểm soát tài khoản người dùng (UAC), Trình chỉnh sửa sổ đăng ký, Trình quản lý tác vụ, Tường lửa và các bản cập nhật hệ thống. Khả năng kích hoạt Màn hình xanh chết chóc (BSoD) bổ sung thêm một lớp gián đoạn và khả năng gây thiệt hại cho hệ thống của nạn nhân.
XWorm RAT có thể được sử dụng để phân phối tải trọng ransomware trên các thiết bị bị vi phạm
Một khả năng quan trọng của XWorm là khả năng thực hiện các cuộc tấn công ransomware. Ransomware đang đe dọa phần mềm mã hóa tệp, khiến chúng không thể truy cập được nếu không có khóa giải mã cụ thể. Sau đó, những người điều hành XWorm có thể yêu cầu nạn nhân thanh toán để đổi lấy việc cung cấp phần mềm giải mã cần thiết để lấy lại quyền truy cập vào các tệp được mã hóa.
Ngoài ra, XWorm đã được quan sát thấy đang bị tội phạm mạng sử dụng để chiếm quyền điều khiển khay nhớ tạm. Kỹ thuật này liên quan đến việc giám sát phần mềm độc hại và chặn dữ liệu được sao chép vào khay nhớ tạm của nạn nhân, với trọng tâm cụ thể là thay thế địa chỉ ví tiền điện tử. Chẳng hạn, nếu nạn nhân sao chép địa chỉ ví Bitcoin, Ethereum hoặc tiền điện tử khác, XWorm sẽ phát hiện dữ liệu và thay thế nó bằng địa chỉ ví do tội phạm mạng sở hữu. Do đó, nạn nhân vô tình gửi tiền của họ vào ví của tin tặc thay vì địa chỉ của người nhận dự kiến.
Phạm vi mở rộng của các khả năng độc hại được quan sát thấy trong XWorm RAT cũng bao gồm chức năng ghi bàn phím. Keylogging liên quan đến quá trình có hại để chụp và ghi lại một cách bí mật tất cả các thao tác nhập bàn phím do người dùng thực hiện trên hệ thống bị nhiễm. Điều này có nghĩa là mật khẩu, thông tin đăng nhập, tin nhắn nhạy cảm và thông tin cá nhân khác được ghi lại một cách lén lút và truyền đến máy chủ Chỉ huy và Kiểm soát của kẻ tấn công.
Báo cáo phân tích
Thông tin chung
| Family Name: | Keylogger.XWormRAT |
|---|---|
| Signature status: | No Signature |
Known Samples
Known Samples
This section lists other file samples believed to be associated with this family.|
MD5:
8393544e67726805f0c88ccda151372c
SHA1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Kích thước tập tin:
2.97 MB, 2971648 bytes
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
SHA1:
53c9351e354d5466b49786b2b6afafee30d822ee
SHA256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Kích thước tập tin:
11.78 KB, 11776 bytes
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
SHA1:
ce89172965fe3205dc28014db093c5c19a3e1236
SHA256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Kích thước tập tin:
55.30 KB, 55296 bytes
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
SHA1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Kích thước tập tin:
44.54 KB, 44544 bytes
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
SHA1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Kích thước tập tin:
2.07 MB, 2074112 bytes
|
Show More
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
SHA1:
6a2f992055737bd58e936c01c86ed965034dce57
SHA256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Kích thước tập tin:
265.73 KB, 265728 bytes
|
Windows Portable Executable Attributes
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
Show More
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
File Icons
File Icons
This section displays icon resources found within family samples. Malware often replicates icons commonly associated with legitimate software to mislead users into believing the malware is safe.
Windows PE Version Information
Windows PE Version Information
This section displays values and attributes that have been set in the Windows file version information data structure for samples within this family. To mislead users, malware actors often add fake version information mimicking legitimate software.| Tên | Giá trị |
|---|---|
| Assembly Version | 1.0.0.0 |
| Company Name | Synaptics |
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
File Traits
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show More
- x86
Block Information
Block Information
During analysis, EnigmaSoft breaks file samples into logical blocks for classification and comparison with other samples. Blocks can be used to generate malware detection rules and to group file samples into families based on shared source code, functionality and other distinguishing attributes and characteristics. This section lists a summary of this block data, as well as its classification by EnigmaSoft. A visual representation of the block data is also displayed, where available.| Total Blocks: | 74 |
|---|---|
| Potentially Malicious Blocks: | 41 |
| Whitelisted Blocks: | 20 |
| Unknown Blocks: | 13 |
Visual Map
? - Unknown Block
x - Potentially Malicious Block
Similar Families
Similar Families
This section lists other families that share similarities with this family, based on EnigmaSoft’s analysis. Many malware families are created from the same malware toolkits and use the same packing and encryption techniques but uniquely extend functionality. Similar families may also share source code, attributes, icons, subcomponents, compromised and/or invalid digital signatures, and network characteristics. Researchers leverage these similarities to rapidly and effectively triage file samples and extend malware detection rules.- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
- MSIL.Rozena.GG
Files Modified
Files Modified
This section lists files that were created, modified, moved and/or deleted by samples in this family. File system activity can provide valuable insight into how malware functions on the operating system.| File | Attributes |
|---|---|
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
Registry Modifications
Registry Modifications
This section lists registry keys and values that were created, modified and/or deleted by samples in this family. Windows Registry activity can provide valuable insight into malware functionality. Additionally, malware often creates registry values to allow itself to automatically start and indefinitely persist after an initial infection has compromised the system.| Key::Value | Dữ liệu | API Name |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show More
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Windows API Usage
Windows API Usage
This section lists Windows API calls that are used by the samples in this family. Windows API usage analysis is a valuable tool that can help identify malicious activity, such as keylogging, security privilege escalation, data encryption, data exfiltration, interference with antivirus software, and network request manipulation.| Category | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show More
8 additional items are not displayed above. |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|
