威脅數據庫 惡意軟體 XWorm RAT

XWorm RAT

惡意軟體, 遠端管理工具, 偷竊者 年Mezo年
發佈時間：
最後更新：

威脅評分卡

人氣排名： 6,045
威胁级别： 80 % (高的)
受感染的计算机： 419
初见： April 24, 2023
最后一次露面： November 6, 2026
受影响的操作系统： Windows

XWorm 惡意軟件被識別為遠程訪問木馬 (RAT) 類別的威脅。 RAT 專門設計用於網絡犯罪分子對受害者計算機進行未經授權的訪問和控制。通過使用 RAT，攻擊者可以遠程監控和觀察用戶活動、竊取敏感數據，並根據其具體目標在受感染的系統上執行各種惡意操作。據研究人員稱，XWorm RAT 的開發商以 400 美元的價格出售。

XWorm RAT 可以竊取廣泛的敏感信息

XWorm RAT 擁有廣泛的功能，使其成為網絡犯罪分子手中高度複雜且危險的威脅。其主要功能之一是能夠從受害者的計算機上秘密竊取有價值的系統信息。 RAT 可以從流行瀏覽器竊取敏感數據。 XWorm 可以從 Chromium 瀏覽器中提取密碼、cookie、信用卡詳細信息、書籤、下載、關鍵字和瀏覽歷史記錄。同樣，它可以竊取 Firefox 瀏覽器的密碼、cookie、書籤和歷史記錄，極大地損害受害者在線活動的安全。

此外，XWorm 的功能涵蓋針對各種應用程序和服務。它可以竊取 Telegram 會話數據、Discord 令牌、WiFi 密碼、Metamask 和 FileZilla 數據。此外，XWorm 還可以訪問註冊表編輯器、記錄擊鍵、運行勒索軟件來加密文件並索要贖金，以及操縱剪貼板數據、服務和進程。

除了信息盜竊之外，XWorm 還具有執行文件的能力，使攻擊者能夠在受感染的系統上運行各種惡意程序和有效負載。此外，該特洛伊木馬還可以未經授權訪問受害者的網絡攝像頭和麥克風，從而嚴重侵犯隱私並允許攻擊者監視受害者的活動。 XWorm 的影響範圍進一步擴大，因為它可以打開 URL、執行 shell 命令和管理文件，從而有效地讓攻擊者完全控制受害者的計算機。

攻擊者甚至可以使用 XWorm 啟用或禁用關鍵系統組件和功能，例如用戶帳戶控制 (UAC)、註冊表編輯器、任務管理器、防火牆和系統更新。調用藍屏死機 (BSoD) 的能力給受害者的系統增加了另一層破壞和潛在損害。

XWorm RAT 可用於在被破壞的設備上傳遞勒索軟件有效負載

XWorm 的一項重要功能是其進行勒索軟件攻擊的能力。勒索軟件正在威脅加密文件的軟件，如果沒有特定的解密密鑰就無法訪問它們。隨後，XWorm 的運營商可以要求受害者付款，以換取受害者提供必要的解密軟件以重新獲得對加密文件的訪問權限。

此外，據觀察，網絡犯罪分子利用 XWorm 進行剪貼板劫持。該技術涉及惡意軟件監控和攔截複製到受害者剪貼板的數據，特別關注替換加密貨幣錢包地址。例如，如果受害者復制比特幣、以太坊或其他加密貨幣錢包地址，XWorm 會檢測到該數據並將其替換為網絡犯罪分子擁有的錢包地址。因此，受害者無意中將資金發送到黑客的錢包，而不是預期的收件人地址。

XWorm RAT 中觀察到的廣泛惡意功能還包括鍵盤記錄功能。鍵盤記錄涉及秘密捕獲和記錄用戶在受感染系統上進行的所有鍵盤輸入的有害過程。這意味著密碼、登錄憑據、敏感消息和其他個人信息會被秘密記錄並傳輸到攻擊者的命令和控制服務器。

 

分析报告

一般信息

姓： Keylogger.XWormRAT
簽名狀態： No Signature

已知樣本

MD5: 8393544e67726805f0c88ccda151372c
SHA1: 2e161a4086a183403597d0a6b0ae9ea0c9d19037
SHA256: 36D605F10AE3233010B4BE32CF6B75501B3D332C95CF56E54001FD8C7A8389CE
文件大小: 2.97 MB ， 2971648位元組
MD5: 6c081bbee7b8c0dede2869a2d239d3c3
SHA1: 53c9351e354d5466b49786b2b6afafee30d822ee
SHA256: 9114C4BDC17A52B091638AE86A2D788EDA113CDC94925B3343A483F2EFC396BD
文件大小: 11.78 KB ， 11776位元組
MD5: 0ae34e0fa21b649ebfc90052b713682a
SHA1: ce89172965fe3205dc28014db093c5c19a3e1236
SHA256: 2A0EA0B7D49FF3D309AB51EC94B06C7370EFC5D7AA5200F05D130F27EEC9762E
文件大小: 55.30 KB ， 55296位元組
MD5: 5d7149ceedf9f6ae4fbe58771daeec84
SHA1: 4ed9ef1ed31a9dda24b488f10a0799003a1ab0fe
SHA256: 7334C22939E917D6D9E4B3F849F07F7FA6D34D9787692B3DCA06145B3D7EBF4B
文件大小: 44.54 KB ， 44544位元組
MD5: e27820ce232dfe90f0e7eda36614d2d1
SHA1: 46523ea3b60c6987d20b0751296b7d3de874e6d7
SHA256: 1FC75F0B36B7DF183678BE72F3B225ACC04A5B450D67D2E1AF42DEE53A243805
文件大小: 2.07 MB ， 2074112位元組
Show 18 more
MD5: 4489cbaa5dc8e45ad3293280175bda02
SHA1: 6a2f992055737bd58e936c01c86ed965034dce57
SHA256: D95B28A388740E01832E83FCCFB6EB8B07188C36FFDCC5D73FA9D00754946459
文件大小: 265.73 KB ， 265728位元組
MD5: 65d0a7755d74384f5055dd3b6af0cc4d
SHA1: 4c5fc802b2fd21968cd23e8ccf670f047b2d886e
SHA256: 6CCF676F2A8A079838085894C8039408F5E463663AD880A64EEB933A7C927449
文件大小: 11.78 KB ， 11776位元組
MD5: 60631806cffc9ef3b048d4d52b06fdb5
SHA1: ab2f4dddb861207328134ed450c90def1b15f638
SHA256: 0957B6708D693848F3C9D4544DE95E044BE691670E83B199157CA87A398BEC49
文件大小: 40.96 KB ， 40960位元組
MD5: 7800b8cc29632ba356e56836453e84fa
SHA1: 6b6daa1115657576393bb302ad0abd590f9d7549
SHA256: 51AA320823FE8A588EF618EECE24DC71F7DAE3B4B8A88E5E6C69F2BEA09CAD88
文件大小: 2.91 MB ， 2908304位元組
MD5: 8517680e669d6b3d634a7592f0af9ff4
SHA1: b5440419d839306a35cadb26e4f1ea6e243da7f9
SHA256: BF5AF9EABEFC1DD3B0BB139A53A41D3AF91B9360B889B214B0AB6726F17715BE
文件大小: 60.42 KB ， 60416位元組
MD5: 6352569fc1f1e4763650ec5b7b3371ff
SHA1: 7fef3755e9f9293c1c879cb2408ac8877cda7ebd
SHA256: 9FE455BB5A6A8AD1A3D242A1B42AECA53AAEF42EB76D25C2B89EC386AA2F58B6
文件大小: 1.44 MB ， 1436545位元組
MD5: 1aed592e6a6f6747104f8f2dfdc48100
SHA1: e80d90230e3bfa7c1ed032677e5ac137830723d6
SHA256: F51099D99ECFA83E2A68D4C68A6E661262E31A77E79FF0C5FD94A34274854811
文件大小: 1.24 MB ， 1244672位元組
MD5: bdabe0c54c8dde931a5e08785b3d258f
SHA1: 004fe676d3fe98633c5cc4a12668a554a4f316b0
SHA256: 164C40A7FFCA142D79063ADE7BA99D095C52864B08ED645EC34C7A94D1C533CB
文件大小: 2.07 MB ， 2067456位元組
MD5: b1a07aae097a8481ee3c61392ac8bce1
SHA1: f3361d200b7469bcd5082e3f0c71c51a6fb44273
SHA256: 9A96C4B45886B226F9AD3D28CADBE6599FE34121629FCE3B5EE686130D21F3F0
文件大小: 2.71 MB ， 2706944位元組
MD5: 09fc5f8cc8c466649bc5c88e4f204d05
SHA1: 745a6634ca8c388474200d4fda85499ea39f5b7c
SHA256: FBAD81087F35385A796EF26797795577D592DA66CAB5289B8B2C4537EA31A96A
文件大小: 36.35 KB ， 36352位元組
MD5: 346bbb4260171d4488640eaa17a42d69
SHA1: 165553fcb9f8c39dd9308f0c84928443f006610a
SHA256: 239D0B10CE29C48B45F0442F567ADDE9E8CFA24A9C60D35ABC58CE769105420B
文件大小: 2.76 MB ， 2755072位元組
MD5: 16fa945e7f8916993e14899fc15bc570
SHA1: 8d0e181866a6e46e60de1c525bcb6cf37606fc90
SHA256: E0C76CA4188CF9E26F2A78DB82E04098FD8E309204F0246884686C4FDF5A9758
文件大小: 1.44 MB ， 1441072位元組
MD5: db3012484135ac6e57c403cd5a313628
SHA1: bf9b59bc375f0ede4b455a4d6e9936cdeedca7e1
SHA256: D27F7276688B977FB87710FB293C4D2BFE3C85BA2AF93E8C33AFF4A446D0F0A0
文件大小: 2.83 MB ， 2826240位元組
MD5: 335eecbd15076a753aef8e5351d6456d
SHA1: be9f1b5e7deb420be48fc1662e875a45f758e4d5
SHA256: 906940D50970404C0C8501F42BFAF4D234347D762384DAA7BEEE64CB30C17470
文件大小: 2.79 MB ， 2792960位元組
MD5: 92289f257bee2b88608966ef3766a56b
SHA1: fade887fc0a449b08f90febd81e40efa3e464f67
SHA256: 9C84EDED2EDCAFD65980A9C5A73E6625B38DE080FF1DEF9132B45F7C5E36ADDA
文件大小: 264.70 KB ， 264704位元組
MD5: eb8058e2448712e4d0cd7ac1f774d509
SHA1: 51e551aa4c96c274eb9dae243c9b2feb9899b7dd
SHA256: A3A2AA37E41F49151530ECDBF8F6F2109D3E4ECB2990FA721AB98265C0A36594
文件大小: 67.07 KB ， 67072位元組
MD5: 2bc7095ba09bb4dd46fe5753971e72da
SHA1: b9823c2097ee09cdca5f697a022f5d2d4f832cff
SHA256: 5F6F5B277CDE1856FAEBE415C063E92E147F6B11BCC2D3FE2C5BDB0A8D265A3D
文件大小: 68.10 KB ， 68096位元組
MD5: 9e389b1bb9cd763e730a537fc4090a36
SHA1: 1a7fbc57518eeb2178b0697aeb000b5fdffa0a97
SHA256: 25998396458DB2E83F4DE8B590202E05E5D4CEA382CE0DF5DF8FF1142AE356D3
文件大小: 40.96 KB ， 40960位元組

Windows 可攜式執行檔屬性

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have relocations information
  • File doesn't have security information
  • File has exports table
  • File has TLS information
  • File is .NET application
  • File is 32-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
Show 6 more
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

文件圖示

Windows PE 版本資訊

姓名 价值
Assembly Version
  • 5.2.6.3
  • 2.0.2.4
  • 1.0.0.0
  • 0.0.0.50
  • 0.0.0.0
Comments
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • Auto train Khan Online
  • http://www.captainsim.com
Company Name
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • ARICENT Technologies (Holdings) Ltd
  • C2HVNC.Implant
  • Captain Sim
  • Kteam Auto
  • Microsoft
  • Synaptics
  • www.UnlockClient.co
File Description
  • 757 Aircraft Configuration Editor
  • adb
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • aSc Converter to Excel
  • C2HVNC.Implant
  • dSoft
  • Kteam Auto
  • PC Service Tool
  • Synaptics Pointing Device Driver
  • uninstall
Show 2 more
  • UnlockClient
  • Update
File Version
  • 5.2.6.3
  • 1.9.9.3
  • 1.00
  • 1.0.0.4
  • 1.0.0.0
  • 0.0.0.50
  • 0.0.0.0
Internal Name
  • ace_757.exe
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT.exe
  • AscToExcel.exe
  • C2HVNC.Implant.dll
  • construsonhos.cloud3.exe
  • dSoft.exe
  • KteamAuto.exe
  • License Editor.exe
  • NMHG PC Service Tool.exe
  • Quantis.exe
Show 11 more
  • R&S Team eMMC Tool.exe
  • ratbox5304.exe
  • SearchSystem.exe
  • TJprojMain
  • uninstall.dll
  • UnlockClient.exe
  • Update.dll
  • Update.exe
  • Win
  • XClient.exe
  • XWormClient.exe
Legal Copyright
  • Copyrights (C) 2017 Captain Sim
  • Copyright © 2019
  • Copyright © 2020
  • Copyright © 2021
  • Copyright © 2023
  • Copyright © 2024
  • Copyright ©NMHG 2007
  • TechSpot.id
  • www.UnlockClient.co
Legal Trademarks Trademarks (R) 2017 Captain Sim
Original Filename
  • ace_757.exe
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT.exe
  • AscToExcel.exe
  • C2HVNC.Implant.dll
  • construsonhos.cloud3.exe
  • dSoft.exe
  • KteamAuto.exe
  • License Editor.exe
  • NMHG PC Service Tool.exe
  • Quantis.exe
Show 11 more
  • R&S Team eMMC Tool.exe
  • ratbox5304.exe
  • SearchSystem.exe
  • TJprojMain.exe
  • uninstall.dll
  • UnlockClient.exe
  • Update.dll
  • Update.exe
  • Win.exe
  • XClient.exe
  • XWormClient.exe
Product Name
  • 757 Captain III
  • adb
  • Akasia Punto de Venta KeyGeN - By KarMaSOFT
  • aSc Converter to Excel
  • C2HVNC.Implant
  • dSoft
  • KteamAuto
  • PC Service Tool
  • Project1
  • Synaptics Pointing Device Driver
Show 4 more
  • uninstall
  • UnlockClient
  • Update
  • Win
Product Version
  • 5.2.6.3
  • 1.9.9.3
  • 1.00
  • 1.0.0.0
  • 1.0.0
  • 0.0.0.50
  • 0.0.0.0

數位簽名

簽署者 根 地位
UnlockClient.co UnlockClient.co Self Signed

文件特徵

  • .NET
  • 00 section
  • 2+ executable sections
  • dll
  • HighEntropy
  • Installer Version
  • NewLateBinding
  • ntdll
  • RijndaelManaged
  • Run
Show 1 more
  • x86

區塊資訊

總區塊數： 92
潛在惡意塊： 0
白名單區塊： 69
未知區塊： 23

視覺化地圖

0 - 可能的安保塊
? - 未知塊
x - 潛在惡意區塊

相似家庭

  • MSIL.BypassUAC.K
  • MSIL.BypassUAC.LC
  • MSIL.BypassUAC.LD
  • MSIL.BypassUAC.P
  • MSIL.Downloader.CAYD
Show 4 more
  • MSIL.Krypt.UJB
  • MSIL.Kryptik.AR
  • MSIL.Kryptik.UJA
  • MSIL.Rozena.GG

文件已修改

文件 屬性
\device\namedpipe\gmdasllogger Generic Write,Read Attributes
c:\users\user\appdata\local\sirdur.exe Generic Write,Read Attributes
c:\users\user\appdata\roaming\chromeupdate.exe Generic Write,Read Attributes
c:\users\user\appdata\roaming\svchost.exe Generic Write,Read Attributes
c:\users\user\ce89172965fe3205dc28014db093c5c19a3e1236_0000055296 Generic Write,Read Attributes

註冊表修改

鍵::值 数据 API名稱
HKLM\software\microsoft\tracing\rasapi32::enablefiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::enableautofiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::enableconsoletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::maxfilesize  RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasapi32::filedirectory %windir%\tracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enablefiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enableautofiletracing RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::enableconsoletracing RegNtPreCreateKey
Show 4 more
HKLM\software\microsoft\tracing\rasmancs::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::maxfilesize  RegNtPreCreateKey
HKLM\software\microsoft\tracing\rasmancs::filedirectory %windir%\tracing RegNtPreCreateKey

Windows API 使用情況

類別 API
Other Suspicious
  • AdjustTokenPrivileges
  • SetWindowsHookEx
User Data Access
  • GetComputerName
  • GetComputerNameEx
  • GetUserDefaultLocaleName
  • GetUserName
  • GetUserObjectInformation
Anti Debug
  • CheckRemoteDebuggerPresent
  • IsDebuggerPresent
  • NtQuerySystemInformation
Syscall Use
  • ntdll.dll!NtAccessCheck
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtAlpcConnectPort
  • ntdll.dll!NtAlpcCreatePortSection
  • ntdll.dll!NtAlpcCreateSectionView
  • ntdll.dll!NtAlpcCreateSecurityContext
  • ntdll.dll!NtAlpcDeleteSecurityContext
  • ntdll.dll!NtAlpcQueryInformation
  • ntdll.dll!NtAlpcQueryInformationMessage
  • ntdll.dll!NtAlpcSendWaitReceivePort
Show 90 more
  • ntdll.dll!NtAlpcSetInformation
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtAssociateWaitCompletionPacket
  • ntdll.dll!NtCancelWaitCompletionPacket
  • ntdll.dll!NtClearEvent
  • ntdll.dll!NtClose
  • ntdll.dll!NtConnectPort
  • ntdll.dll!NtCreateEvent
  • ntdll.dll!NtCreateIoCompletion
  • ntdll.dll!NtCreateKey
  • ntdll.dll!NtCreateMutant
  • ntdll.dll!NtCreatePrivateNamespace
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtCreateSemaphore
  • ntdll.dll!NtCreateThreadEx
  • ntdll.dll!NtCreateTimer2
  • ntdll.dll!NtCreateWaitCompletionPacket
  • ntdll.dll!NtCreateWorkerFactory
  • ntdll.dll!NtDelayExecution
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtDuplicateObject
  • ntdll.dll!NtDuplicateToken
  • ntdll.dll!NtEnumerateKey
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtGetCompleteWnfStateSubscription
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtNotifyChangeKey
  • ntdll.dll!NtOpenDirectoryObject
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenProcess
  • ntdll.dll!NtOpenProcessToken
  • ntdll.dll!NtOpenProcessTokenEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtOpenSemaphore
  • ntdll.dll!NtOpenSymbolicLinkObject
  • ntdll.dll!NtOpenThread
  • ntdll.dll!NtOpenThreadToken
  • ntdll.dll!NtOpenThreadTokenEx
  • ntdll.dll!NtPowerInformation
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryDebugFilterState
  • ntdll.dll!NtQueryDefaultLocale
  • ntdll.dll!NtQueryDirectoryFileEx
  • ntdll.dll!NtQueryFullAttributesFile
  • ntdll.dll!NtQueryInformationFile
  • ntdll.dll!NtQueryInformationJobObject
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryInformationToken
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryLicenseValue
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityAttributesToken
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQuerySymbolicLinkObject
  • ntdll.dll!NtQuerySystemInformation
  • ntdll.dll!NtQuerySystemInformationEx
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtQueryVolumeInformationFile
  • ntdll.dll!NtQueryWnfStateData
  • ntdll.dll!NtQueueApcThread
  • ntdll.dll!NtQueueApcThreadEx2
  • ntdll.dll!NtReadFile
  • ntdll.dll!NtReadRequestData
  • ntdll.dll!NtReadVirtualMemory
  • ntdll.dll!NtReleaseMutant
  • ntdll.dll!NtReleaseSemaphore
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRequestWaitReplyPort
  • ntdll.dll!NtResumeThread
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationKey
  • ntdll.dll!NtSetInformationProcess
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtSetTimer2
  • ntdll.dll!NtSubscribeWnfStateChange
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtUnmapViewOfSection
  • ntdll.dll!NtUnmapViewOfSectionEx
  • ntdll.dll!NtUnsubscribeWnfStateChange
  • ntdll.dll!NtWaitForAlertByThreadId

以上未顯示8個附加項目。

Encryption Used
  • BCryptOpenAlgorithmProvider
Process Manipulation Evasion
  • ReadProcessMemory
Network Winsock2
  • WSAConnect
  • WSASocket
  • WSAStartup
  • WSAttemptAutodialName
Network Winsock
  • closesocket
  • freeaddrinfo
  • getaddrinfo
  • recv
  • send
  • setsockopt
Network Winhttp
  • WinHttpOpen
Network Info Queried
  • GetAdaptersAddresses
  • GetNetworkParams