XWorm RAT
Thẻ điểm Đe doạ
EnigmaSoft Threat Scorecard
EnigmaSoft Threat Scorecards là các báo cáo đánh giá các mối đe dọa phần mềm độc hại khác nhau đã được nhóm nghiên cứu của chúng tôi thu thập và phân tích. EnigmaSoft Threat Scorecards đánh giá và xếp hạng các mối đe dọa bằng cách sử dụng một số chỉ số bao gồm các yếu tố rủi ro trong thế giới thực và tiềm ẩn, xu hướng, tần suất, mức độ phổ biến và tính lâu dài. EnigmaSoft Threat Scorecards được cập nhật thường xuyên dựa trên dữ liệu và chỉ số nghiên cứu của chúng tôi và rất hữu ích cho nhiều người dùng máy tính, từ người dùng cuối đang tìm kiếm giải pháp loại bỏ phần mềm độc hại khỏi hệ thống của họ cho đến các chuyên gia bảo mật đang phân tích các mối đe dọa.
EnigmaSoft Threat Scorecards hiển thị nhiều thông tin hữu ích, bao gồm:
Popularity Rank: The ranking of a particular threat in EnigmaSoft’s Threat Database.
Mức độ nghiêm trọng: Mức độ nghiêm trọng được xác định của một đối tượng, được thể hiện bằng số, dựa trên quy trình và nghiên cứu lập mô hình rủi ro của chúng tôi, như được giải thích trong Tiêu chí đánh giá mối đe dọa của chúng tôi.
Máy tính bị nhiễm: Số trường hợp được xác nhận và nghi ngờ về một mối đe dọa cụ thể được phát hiện trên các máy tính bị nhiễm theo báo cáo của SpyHunter.
Xem thêm Tiêu chí Đánh giá Mối đe dọa .
| Popularity Rank: | 4,582 |
| Mức độ nguy hiểm: | 80 % (Cao) |
| Máy tính bị nhiễm: | 353 |
| Lần đầu tiên nhìn thấy: | April 24, 2023 |
| Nhìn thấy lần cuối: | April 8, 2026 |
| (Các) hệ điều hành bị ảnh hưởng: | Windows |
Phần mềm độc hại XWorm được xác định là mối đe dọa từ danh mục Trojan Truy cập Từ xa (RAT). RAT được thiết kế đặc biệt để cho phép tội phạm mạng truy cập và kiểm soát trái phép máy tính của nạn nhân. Với việc sử dụng RAT, kẻ tấn công có thể theo dõi và quan sát từ xa các hoạt động của người dùng, ăn cắp dữ liệu nhạy cảm và thực hiện một loạt các hoạt động độc hại trên hệ thống bị xâm nhập, tùy thuộc vào mục tiêu cụ thể của chúng. Theo các nhà nghiên cứu, XWorm RAT được các nhà phát triển của nó rao bán với mức giá 400 USD.
Mục lục
XWorm RAT có thể đánh cắp nhiều loại thông tin nhạy cảm
XWorm RAT sở hữu một loạt các khả năng khiến nó trở thành một mối đe dọa cực kỳ tinh vi và nguy hiểm trong tay tội phạm mạng. Một trong những chức năng chính của nó là khả năng đánh cắp thông tin hệ thống có giá trị từ máy tính của nạn nhân một cách lén lút. RAT có thể đánh cắp dữ liệu nhạy cảm từ các trình duyệt phổ biến. XWorm có thể trích xuất mật khẩu, cookie, chi tiết thẻ tín dụng, dấu trang, nội dung tải xuống, từ khóa và lịch sử duyệt web từ trình duyệt Chromium. Tương tự, nó có thể ăn cắp mật khẩu, cookie, dấu trang và lịch sử từ trình duyệt Firefox, làm tổn hại nghiêm trọng đến tính bảo mật của các hoạt động trực tuyến của nạn nhân.
Hơn nữa, các khả năng của XWorm bao gồm nhắm mục tiêu vào nhiều ứng dụng và dịch vụ. Nó có thể đánh cắp dữ liệu phiên Telegram, mã thông báo Discord, mật khẩu WiFi, dữ liệu Metamask và FileZilla. Ngoài ra, XWorm có thể truy cập Registry Editor, ghi nhật ký các lần gõ phím, chạy phần mềm tống tiền để mã hóa tệp và yêu cầu tiền chuộc, đồng thời thao tác dữ liệu, dịch vụ và quy trình trong khay nhớ tạm.
Ngoài hành vi đánh cắp thông tin, XWorm còn có khả năng thực thi các tệp, cấp cho kẻ tấn công quyền chạy các chương trình độc hại và tải trọng khác nhau trên hệ thống bị xâm nhập. Ngoài ra, Trojan có thể truy cập trái phép vào webcam và micrô của nạn nhân, gây ra sự xâm phạm đáng kể quyền riêng tư và cho phép kẻ tấn công giám sát các hoạt động của nạn nhân. Phạm vi tiếp cận của XWorm còn mở rộng hơn nữa vì nó có thể mở URL, thực thi lệnh shell và quản lý tệp, giúp kẻ tấn công kiểm soát hoàn toàn máy tính của nạn nhân một cách hiệu quả.
Những kẻ tấn công thậm chí có thể sử dụng XWorm để bật hoặc tắt các thành phần và tính năng quan trọng của hệ thống như Kiểm soát tài khoản người dùng (UAC), Trình chỉnh sửa sổ đăng ký, Trình quản lý tác vụ, Tường lửa và các bản cập nhật hệ thống. Khả năng kích hoạt Màn hình xanh chết chóc (BSoD) bổ sung thêm một lớp gián đoạn và khả năng gây thiệt hại cho hệ thống của nạn nhân.
XWorm RAT có thể được sử dụng để phân phối tải trọng ransomware trên các thiết bị bị vi phạm
Một khả năng quan trọng của XWorm là khả năng thực hiện các cuộc tấn công ransomware. Ransomware đang đe dọa phần mềm mã hóa tệp, khiến chúng không thể truy cập được nếu không có khóa giải mã cụ thể. Sau đó, những người điều hành XWorm có thể yêu cầu nạn nhân thanh toán để đổi lấy việc cung cấp phần mềm giải mã cần thiết để lấy lại quyền truy cập vào các tệp được mã hóa.
Ngoài ra, XWorm đã được quan sát thấy đang bị tội phạm mạng sử dụng để chiếm quyền điều khiển khay nhớ tạm. Kỹ thuật này liên quan đến việc giám sát phần mềm độc hại và chặn dữ liệu được sao chép vào khay nhớ tạm của nạn nhân, với trọng tâm cụ thể là thay thế địa chỉ ví tiền điện tử. Chẳng hạn, nếu nạn nhân sao chép địa chỉ ví Bitcoin, Ethereum hoặc tiền điện tử khác, XWorm sẽ phát hiện dữ liệu và thay thế nó bằng địa chỉ ví do tội phạm mạng sở hữu. Do đó, nạn nhân vô tình gửi tiền của họ vào ví của tin tặc thay vì địa chỉ của người nhận dự kiến.
Phạm vi mở rộng của các khả năng độc hại được quan sát thấy trong XWorm RAT cũng bao gồm chức năng ghi bàn phím. Keylogging liên quan đến quá trình có hại để chụp và ghi lại một cách bí mật tất cả các thao tác nhập bàn phím do người dùng thực hiện trên hệ thống bị nhiễm. Điều này có nghĩa là mật khẩu, thông tin đăng nhập, tin nhắn nhạy cảm và thông tin cá nhân khác được ghi lại một cách lén lút và truyền đến máy chủ Chỉ huy và Kiểm soát của kẻ tấn công.
Báo cáo phân tích
Thông tin chung
| Family Name: | Keylogger.XWormRAT |
|---|---|
| Signature status: | Self Signed |
Known Samples
Known Samples
This section lists other file samples believed to be associated with this family.|
MD5:
8393544e67726805f0c88ccda151372c
SHA1:
2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256:
36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
Kích thước tập tin:
2.97 MB, 2971648 bytes
|
|
MD5:
6c081bbee7b8c0dede2869a2d239d3c3
SHA1:
53c9351e354d5466b49786b2b6afafee30d822ee
SHA256:
9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
Kích thước tập tin:
11.78 KB, 11776 bytes
|
|
MD5:
0ae34e0fa21b649ebfc90052b713682a
SHA1:
ce89172965fe3205dc28014db093c5c19a3e1236
SHA256:
2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
Kích thước tập tin:
55.30 KB, 55296 bytes
|
|
MD5:
5d7149ceedf9f6ae4fbe58771daeec84
SHA1:
4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256:
7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
Kích thước tập tin:
44.54 KB, 44544 bytes
|
|
MD5:
e27820ce232dfe90f0e7eda36614d2d1
SHA1:
46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256:
1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
Kích thước tập tin:
2.07 MB, 2074112 bytes
|
Show More
|
MD5:
4489cbaa5dc8e45ad3293280175bda02
SHA1:
6a2f992055737bd58e936c01c86ed965034dce57
SHA256:
D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
Kích thước tập tin:
265.73 KB, 265728 bytes
|
|
MD5:
65d0a7755d74384f5055dd3b6af0cc4d
SHA1:
4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256:
6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
Kích thước tập tin:
11.78 KB, 11776 bytes
|
|
MD5:
60631806cffc9ef3b048d4d52b06fdb5
SHA1:
ab2f4dddb861207328134ed450c90def1b15f638
SHA256:
0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
Kích thước tập tin:
40.96 KB, 40960 bytes
|
|
MD5:
7800b8cc29632ba356e56836453e84fa
SHA1:
6b6daa1115657576393bb302ad0abd590f9d7549
SHA256:
51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
Kích thước tập tin:
2.91 MB, 2908304 bytes
|
Windows Portable Executable Attributes
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File has exports table
- File has TLS information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
Show More
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
File Icons
File Icons
This section displays icon resources found within family samples. Malware often replicates icons commonly associated with legitimate software to mislead users into believing the malware is safe.
Windows PE Version Information
Windows PE Version Information
This section displays values and attributes that have been set in the Windows file version information data structure for samples within this family. To mislead users, malware actors often add fake version information mimicking legitimate software.| Tên | Giá trị |
|---|---|
| Assembly Version |
|
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Name |
|
| Product Version |
|
Digital Signatures
Digital Signatures
This section lists digital signatures that are attached to samples within this family. When analyzing and verifying digital signatures, it is important to confirm that the signature’s root authority is a well-known and trustworthy entity and that the status of the signature is good. Malware is often signed with non-trustworthy “Self Signed” digital signatures (which can be easily created by a malware author with no verification). Malware may also be signed by legitimate signatures that have an invalid status, and by signatures from questionable root authorities with fake or misleading “Signer” names.| Signer | Root | Status |
|---|---|---|
| UnlockClient.co | UnlockClient.co | Self Signed |
File Traits
- .NET
- 00 section
- 2+ executable sections
- dll
- HighEntropy
- Installer Version
- NewLateBinding
- ntdll
- RijndaelManaged
- Run
Show More
- x86
Block Information
Block Information
During analysis, EnigmaSoft breaks file samples into logical blocks for classification and comparison with other samples. Blocks can be used to generate malware detection rules and to group file samples into families based on shared source code, functionality and other distinguishing attributes and characteristics. This section lists a summary of this block data, as well as its classification by EnigmaSoft. A visual representation of the block data is also displayed, where available.| Total Blocks: | 3 |
|---|---|
| Potentially Malicious Blocks: | 0 |
| Whitelisted Blocks: | 3 |
| Unknown Blocks: | 0 |
Visual Map
? - Unknown Block
x - Potentially Malicious Block
Similar Families
Similar Families
This section lists other families that share similarities with this family, based on EnigmaSoft’s analysis. Many malware families are created from the same malware toolkits and use the same packing and encryption techniques but uniquely extend functionality. Similar families may also share source code, attributes, icons, subcomponents, compromised and/or invalid digital signatures, and network characteristics. Researchers leverage these similarities to rapidly and effectively triage file samples and extend malware detection rules.- MSIL.BypassUAC.K
- MSIL.BypassUAC.LC
- MSIL.BypassUAC.LD
- MSIL.BypassUAC.P
- MSIL.Downloader.CAYD
Show More
- MSIL.Kryptik.AR
- MSIL.Rozena.GG
Files Modified
Files Modified
This section lists files that were created, modified, moved and/or deleted by samples in this family. File system activity can provide valuable insight into how malware functions on the operating system.| File | Attributes |
|---|---|
| c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 | Generic Write,Read Attributes |
Registry Modifications
Registry Modifications
This section lists registry keys and values that were created, modified and/or deleted by samples in this family. Windows Registry activity can provide valuable insight into malware functionality. Additionally, malware often creates registry values to allow itself to automatically start and indefinitely persist after an initial infection has compromised the system.| Key::Value | Dữ liệu | API Name |
|---|---|---|
| HKLM\software\microsoft\tracing\rasapi32::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasapi32::filedirectory | %windir%\tracing | RegNtPreCreateKey |
| HKLM\software\microsoft\tracing\rasmancs::enablefiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing | RegNtPreCreateKey |
Show More
| HKLM\software\microsoft\tracing\rasmancs::filetracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::consoletracingmask | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::maxfilesize | RegNtPreCreateKey | |
| HKLM\software\microsoft\tracing\rasmancs::filedirectory | %windir%\tracing | RegNtPreCreateKey |
Windows API Usage
Windows API Usage
This section lists Windows API calls that are used by the samples in this family. Windows API usage analysis is a valuable tool that can help identify malicious activity, such as keylogging, security privilege escalation, data encryption, data exfiltration, interference with antivirus software, and network request manipulation.| Category | API |
|---|---|
| Other Suspicious |
|
| User Data Access |
|
| Anti Debug |
|
| Syscall Use |
Show More
8 additional items are not displayed above. |
| Encryption Used |
|
| Process Manipulation Evasion |
|
| Network Winsock2 |
|
| Network Winsock |
|
| Network Winhttp |
|
| Network Info Queried |
|
