Cơ sở dữ liệu về mối đe dọa Phần mềm độc hại XWorm RAT

XWorm RAT

Đến năm Mezo năm Phần mềm độc hại, Công cụ quản lý từ xa, Kẻ trộm
Đã xuất bản:
Cập nhật lần cuối:

Thẻ điểm Đe doạ

Xếp hạng độ phổ biến: 6,045
Mức độ nguy hiểm: 80 % (Cao)
Máy tính bị nhiễm: 419
Lần đầu tiên nhìn thấy: April 24, 2023
Nhìn thấy lần cuối: November 6, 2026
(Các) hệ điều hành bị ảnh hưởng: Windows

Phần mềm độc hại XWorm được xác định là mối đe dọa từ danh mục Trojan Truy cập Từ xa (RAT). RAT được thiết kế đặc biệt để cho phép tội phạm mạng truy cập và kiểm soát trái phép máy tính của nạn nhân. Với việc sử dụng RAT, kẻ tấn công có thể theo dõi và quan sát từ xa các hoạt động của người dùng, ăn cắp dữ liệu nhạy cảm và thực hiện một loạt các hoạt động độc hại trên hệ thống bị xâm nhập, tùy thuộc vào mục tiêu cụ thể của chúng. Theo các nhà nghiên cứu, XWorm RAT được các nhà phát triển của nó rao bán với mức giá 400 USD.

XWorm RAT có thể đánh cắp nhiều loại thông tin nhạy cảm

XWorm RAT sở hữu một loạt các khả năng khiến nó trở thành một mối đe dọa cực kỳ tinh vi và nguy hiểm trong tay tội phạm mạng. Một trong những chức năng chính của nó là khả năng đánh cắp thông tin hệ thống có giá trị từ máy tính của nạn nhân một cách lén lút. RAT có thể đánh cắp dữ liệu nhạy cảm từ các trình duyệt phổ biến. XWorm có thể trích xuất mật khẩu, cookie, chi tiết thẻ tín dụng, dấu trang, nội dung tải xuống, từ khóa và lịch sử duyệt web từ trình duyệt Chromium. Tương tự, nó có thể ăn cắp mật khẩu, cookie, dấu trang và lịch sử từ trình duyệt Firefox, làm tổn hại nghiêm trọng đến tính bảo mật của các hoạt động trực tuyến của nạn nhân.

Hơn nữa, các khả năng của XWorm bao gồm nhắm mục tiêu vào nhiều ứng dụng và dịch vụ. Nó có thể đánh cắp dữ liệu phiên Telegram, mã thông báo Discord, mật khẩu WiFi, dữ liệu Metamask và FileZilla. Ngoài ra, XWorm có thể truy cập Registry Editor, ghi nhật ký các lần gõ phím, chạy phần mềm tống tiền để mã hóa tệp và yêu cầu tiền chuộc, đồng thời thao tác dữ liệu, dịch vụ và quy trình trong khay nhớ tạm.

Ngoài hành vi đánh cắp thông tin, XWorm còn có khả năng thực thi các tệp, cấp cho kẻ tấn công quyền chạy các chương trình độc hại và tải trọng khác nhau trên hệ thống bị xâm nhập. Ngoài ra, Trojan có thể truy cập trái phép vào webcam và micrô của nạn nhân, gây ra sự xâm phạm đáng kể quyền riêng tư và cho phép kẻ tấn công giám sát các hoạt động của nạn nhân. Phạm vi tiếp cận của XWorm còn mở rộng hơn nữa vì nó có thể mở URL, thực thi lệnh shell và quản lý tệp, giúp kẻ tấn công kiểm soát hoàn toàn máy tính của nạn nhân một cách hiệu quả.

Những kẻ tấn công thậm chí có thể sử dụng XWorm để bật hoặc tắt các thành phần và tính năng quan trọng của hệ thống như Kiểm soát tài khoản người dùng (UAC), Trình chỉnh sửa sổ đăng ký, Trình quản lý tác vụ, Tường lửa và các bản cập nhật hệ thống. Khả năng kích hoạt Màn hình xanh chết chóc (BSoD) bổ sung thêm một lớp gián đoạn và khả năng gây thiệt hại cho hệ thống của nạn nhân.

XWorm RAT có thể được sử dụng để phân phối tải trọng ransomware trên các thiết bị bị vi phạm

Một khả năng quan trọng của XWorm là khả năng thực hiện các cuộc tấn công ransomware. Ransomware đang đe dọa phần mềm mã hóa tệp, khiến chúng không thể truy cập được nếu không có khóa giải mã cụ thể. Sau đó, những người điều hành XWorm có thể yêu cầu nạn nhân thanh toán để đổi lấy việc cung cấp phần mềm giải mã cần thiết để lấy lại quyền truy cập vào các tệp được mã hóa.

Ngoài ra, XWorm đã được quan sát thấy đang bị tội phạm mạng sử dụng để chiếm quyền điều khiển khay nhớ tạm. Kỹ thuật này liên quan đến việc giám sát phần mềm độc hại và chặn dữ liệu được sao chép vào khay nhớ tạm của nạn nhân, với trọng tâm cụ thể là thay thế địa chỉ ví tiền điện tử. Chẳng hạn, nếu nạn nhân sao chép địa chỉ ví Bitcoin, Ethereum hoặc tiền điện tử khác, XWorm sẽ phát hiện dữ liệu và thay thế nó bằng địa chỉ ví do tội phạm mạng sở hữu. Do đó, nạn nhân vô tình gửi tiền của họ vào ví của tin tặc thay vì địa chỉ của người nhận dự kiến.

Phạm vi mở rộng của các khả năng độc hại được quan sát thấy trong XWorm RAT cũng bao gồm chức năng ghi bàn phím. Keylogging liên quan đến quá trình có hại để chụp và ghi lại một cách bí mật tất cả các thao tác nhập bàn phím do người dùng thực hiện trên hệ thống bị nhiễm. Điều này có nghĩa là mật khẩu, thông tin đăng nhập, tin nhắn nhạy cảm và thông tin cá nhân khác được ghi lại một cách lén lút và truyền đến máy chủ Chỉ huy và Kiểm soát của kẻ tấn công.

Báo cáo phân tích

Thông tin chung

Họ: Keylogger.XWormRAT
Trạng thái chữ ký: No Signature

Các mẫu đã biết

MD5: 8393544e67726805f0c88ccda151372c
SHA1: 2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256: 36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Kích thước tập tin: 2.97 MB , 2971648 byte
MD5: 6c081bbee7b8c0dede2869a2d239d3c3
SHA1: 53c9351e354d5466b49786b2b6afafee30d822ee
SHA256: 9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Kích thước tập tin: 11.78 KB , 11776 byte
MD5: 0ae34e0fa21b649ebfc90052b713682a
SHA1: ce89172965fe3205dc28014db093c5c19a3e1236
SHA256: 2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Kích thước tập tin: 55.30 KB , 55296 byte
MD5: 5d7149ceedf9f6ae4fbe58771daeec84
SHA1: 4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256: 7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Kích thước tập tin: 44.54 KB , 44544 byte
MD5: e27820ce232dfe90f0e7eda36614d2d1
SHA1: 46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256: 1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Kích thước tập tin: 2.07 MB , 2074112 byte
Show 18 more
MD5: 4489cbaa5dc8e45ad3293280175bda02
SHA1: 6a2f992055737bd58e936c01c86ed965034dce57
SHA256: D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Kích thước tập tin: 265.73 KB , 265728 byte
MD5: 65d0a7755d74384f5055dd3b6af0cc4d
SHA1: 4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256: 6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
Kích thước tập tin: 11.78 KB , 11776 byte
MD5: 60631806cffc9ef3b048d4d52b06fdb5
SHA1: ab2f4dddb861207328134ed450c90def1b15f638
SHA256: 0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
Kích thước tập tin: 40.96 KB , 40960 byte
MD5: 7800b8cc29632ba356e56836453e84fa
SHA1: 6b6daa1115657576393bb302ad0abd590f9d7549
SHA256: 51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
Kích thước tập tin: 2.91 MB , 2908304 byte
MD5: 8517680e669d6b3d634a7592f0af9ff4
SHA1: b5440419d839306a35cadb26e4f1ea6e243da7f9
SHA256: BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
Kích thước tập tin: 60.42 KB , 60416 byte
MD5: 6352569fc1f1e4763650ec5b7b3371ff
SHA1: 7fef3755e9f9293c1c879cb2408ac8877cda7ebd
SHA256: 9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
Kích thước tập tin: 1.44 MB , 1436545 byte
MD5: 1aed592e6a6f6747104f8f2dfdc48100
SHA1: e80d90230e3bfa7c1ed032677e5ac137830723d6
SHA256: F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
Kích thước tập tin: 1.24 MB , 1244672 byte
MD5: bdabe0c54c8dde931a5e08785b3d258f
SHA1: 004fe676d3fe98633c5cc4a12668a554a4f316b0
SHA256: 164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
Kích thước tập tin: 2.07 MB , 2067456 byte
MD5: b1a07aae097a8481ee3c61392ac8bce1
SHA1: f3361d200b7469bcd5082e3f0c71c51a6fb44273
SHA256: 9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
Kích thước tập tin: 2.71 MB , 2706944 byte
MD5: 09fc5f8cc8c466649bc5c88e4f204d05
SHA1: 745a6634ca8c388474200d4fda85499ea39f5b7c
SHA256: FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
Kích thước tập tin: 36.35 KB , 36352 byte
MD5: 346bbb4260171d4488640eaa17a42d69
SHA1: 165553fcb9f8c39dd9308f0c84928443f006610a
SHA256: 239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
Kích thước tập tin: 2.76 MB , 2755072 byte
MD5: 16fa945e7f8916993e14899fc15bc570
SHA1: 8d0e181866a6e46e60de1c525bcb6cf37606fc90
SHA256: E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
Kích thước tập tin: 1.44 MB , 1441072 byte
MD5: db3012484135ac6e57c403cd5a313628
SHA1: bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
SHA256: D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
Kích thước tập tin: 2.83 MB , 2826240 byte
MD5: 335eecbd15076a753aef8e5351d6456d
SHA1: be9f1b5e7deb420be48fc1662e875a45f758e4d5
SHA256: 906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
Kích thước tập tin: 2.79 MB , 2792960 byte
MD5: 92289f257bee2b88608966ef3766a56b
SHA1: fade887fc0a449b08f90febd81e40efa3e464f67
SHA256: 9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
Kích thước tập tin: 264.70 KB , 264704 byte
MD5: eb8058e2448712e4d0cd7ac1f774d509
SHA1: 51e551aa4c96c274eb9dae243c9b2feb9899b7dd
SHA256: A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
Kích thước tập tin: 67.07 KB , 67072 byte
MD5: 2bc7095ba09bb4dd46fe5753971e72da
SHA1: b9823c2097ee09cdca5f697a022f5d2d4f832cff
SHA256: 5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
Kích thước tập tin: 68.10 KB , 68096 byte
MD5: 9e389b1bb9cd763e730a537fc4090a36
SHA1: 1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
SHA256: 25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
Kích thước tập tin: 40.96 KB , 40960 byte

Thuộc tính tệp thực thi di động của Windows

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have security information
  • File has exports table
  • File has TLS information
  • File is .NET application
  • File is 32-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Biểu tượng tập tin

Thông tin phiên bản Windows PE

Tên Giá trị
Assembly Version
  • 5.2.6.3
  • 2.0.2.4
  • 1.0.0.0
  • 0.0.0.50
  • 0.0.0.0
Comments
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • Auto train Khan Online
  • http://www.captainsim.com
Company Name
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • ARICENT Technologies (Holdings) Ltd
  • C2HVNC.Implant
  • Captain Sim
  • Kteam Auto
  • Microsoft
  • Synaptics
  • www.UnlockClient.co
File Description
  • 757 Aircraft Configuration Editor
  • adb
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • aSc Converter to Excel
  • C2HVNC.Implant
  • dSoft
  • Kteam Auto
  • PC Service Tool
  • Synaptics Pointing Device Driver
  • uninstall
Show 2 more
  • UnlockClient
  • Update
File Version
  • 5.2.6.3
  • 1.9.9.3
  • 1.00
  • 1.0.0.4
  • 1.0.0.0
  • 0.0.0.50
  • 0.0.0.0
Internal Name
  • ace_757.exe
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT.exe
  • AscToExcel.exe
  • C2HVNC.Implant.dll
  • construsonhos.cloud3.exe
  • dSoft.exe
  • KteamAuto.exe
  • License Editor.exe
  • NMHG PC Service Tool.exe
  • Quantis.exe
Show 11 more
  • R&S Team eMMC Tool.exe
  • ratbox5304.exe
  • SearchSystem.exe
  • TJprojMain
  • uninstall.dll
  • UnlockClient.exe
  • Update.dll
  • Update.exe
  • Win
  • XClient.exe
  • XWormClient.exe
Legal Copyright
  • Copyrights (C) 2017 Captain Sim
  • Copyright © 2019
  • Copyright © 2020
  • Copyright © 2021
  • Copyright © 2023
  • Copyright © 2024
  • Copyright ©NMHG 2007
  • TechSpot.id
  • www.UnlockClient.co
Legal Trademarks Trademarks (R) 2017 Captain Sim
Original Filename
  • ace_757.exe
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT.exe
  • AscToExcel.exe
  • C2HVNC.Implant.dll
  • construsonhos.cloud3.exe
  • dSoft.exe
  • KteamAuto.exe
  • License Editor.exe
  • NMHG PC Service Tool.exe
  • Quantis.exe
Show 11 more
  • R&S Team eMMC Tool.exe
  • ratbox5304.exe
  • SearchSystem.exe
  • TJprojMain.exe
  • uninstall.dll
  • UnlockClient.exe
  • Update.dll
  • Update.exe
  • Win.exe
  • XClient.exe
  • XWormClient.exe
Product Name
  • 757 Captain III
  • adb
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • aSc Converter to Excel
  • C2HVNC.Implant
  • dSoft
  • KteamAuto
  • PC Service Tool
  • Project1
  • Synaptics Pointing Device Driver
Show 4 more
  • uninstall
  • UnlockClient
  • Update
  • Win
Product Version
  • 5.2.6.3
  • 1.9.9.3
  • 1.00
  • 1.0.0.0
  • 1.0.0
  • 0.0.0.50
  • 0.0.0.0

Chữ ký số

Người ký Rễ Trạng thái
UnlockClient.co UnlockClient.co Self Signed

Đặc điểm tệp

  • .NET
  • 00 section
  • 2+ executable sections
  • dll
  • HighEntropy
  • Installer Version
  • NewLateBinding
  • ntdll
  • RijndaelManaged
  • Run
Show 1 more
  • x86

Thông tin khối

Tổng số khối: 92
Các khối có khả năng gây hại: 0
Các khối được đưa vào danh sách trắng: 69
Các khối không xác định: 23

Bản đồ trực quan

0 - Khối an toàn có thể xảy ra
? - Khối không xác định
x - Khối có khả năng độc hại

Các gia đình tương tự

  • MSIL.BypassUAC.K
  • MSIL.BypassUAC.LC
  • MSIL.BypassUAC.LD
  • MSIL.BypassUAC.P
  • MSIL.Downloader.CAYD
Show 4 more
  • MSIL.Krypt.UJB
  • MSIL.Kryptik.AR
  • MSIL.Kryptik.UJA
  • MSIL.Rozena.GG

Tệp đã được sửa đổi

Tài liệu Thuộc tính
\device\namedpipe\gmdasllogger Generic Write,Read Attributes
c:\users\user\appdata\local\sirdur.exe Generic Write,Read Attributes
c:\users\user\appdata\roaming\chromeupdate.exe Generic Write,Read Attributes
c:\users\user\appdata\roaming\svchost.exe Generic Write,Read Attributes
c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 Generic Write,Read Attributes

Sửa đổi Registry

Khóa::Giá trị Dữ liệu Tên API
HKLM\software\microsoft\tracing\rasapi32::enablefiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::maxfilesize  RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::filedirectory %windir%\tracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enablefiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing RegNtPreCreateKey
Show 4 more
HKLM\software\microsoft\tracing\rasmancs::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::maxfilesize  RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::filedirectory %windir%\tracing RegNtPreCreateKey

Sử dụng API của Windows

Loại API
Other Suspicious
  • AdjustTokenPrivileges
  • SetWindowsHookEx
User Data Access
  • GetComputerName
  • GetComputerNameEx
  • GetUserDefaultLocaleName
  • GetUserName
  • GetUserObjectInformation
Anti Debug
  • CheckRemoteDebuggerPresent
  • IsDebuggerPresent
  • NtQuerySystemInformation
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcCreatePortSection
  • ntdll.dll!NtAlpcCreateSectionView
  • ntdll.dll!NtAlpcCreateSecurityContext
  • ntdll.dll!NtAlpcDeleteSecurityContext
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcQueryInformationMessage
  • ntdll.dll!NtAlpcSendWaitReceivePort
Show 90 more
  • ntdll.dll!NtAlpcSetInformation
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreatePrivateNamespace
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtGetCompleteWnfStateSubscription
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySymbolicLinkObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtQueueApcThread
  • ntdll.dll!NtQueueApcThreadEx2
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReadVirtualMemory
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtUnmapViewOfSectionEx
  • ntdll.dll!NtUnsubscribeWnfStateChange
  • ntdll.dll!NtWaitForAlertByThreadId

Các mục bổ sung 8 không được hiển thị ở trên.

Encryption Used
  • BCryptOpenAlgorithmProvider
Process Manipulation Evasion
  • ReadProcessMemory
Network Winsock2
  • WSAConnect
  • WSASocket
  • WSAStartup
  • WSAttemptAutodialName
Network Winsock
  • closesocket
  • freeaddrinfo
  • getaddrinfo
  • recv
  • send
  • setsockopt
Network Winhttp
  • WinHttpOpen
Network Info Queried
  • GetAdaptersAddresses
  • GetNetworkParams