| Hash / Info | Value |
|---|---|
| SHA256 | 448d23c53cc9f4a1a97683474c4e2e7a45ac05570effebc9018924a2c3cc44dc |
| MD5 | 6889cfb3137ffee92478c3c2bb2a7722 |
| SHA1 | 3d52224ca0af65863a464c90896270b56b81028e |
| File Name | JCKCFSQXDZNKKJZTFXKSGP.ps1 |
| File Type | ps1 |
| Size | 3,294,493 bytes |
| First Seen | 2022-05-07 |
Tehdit Valuelendirmesi
Bu örnek, saldırganlara ele geçirilen sistemler üzerinde tam uzaktan kontrol imkânı sunan bir RAT (Uzaktan Erişim Trojanı) olarak tespit edilmiştir. Keylogging, ekran görüntüsü alma, dosya yönetimi ve kabuk erişimi gibi kapsamlı gözetleme yeteneklerine sahip olan bu zararlı yazılım, kimlik avı e-postaları veya sahte yazılım aracılığıyla yayılmaktadır.
Detected Capabilities
- Uzaktan Erişim
- Keylogging
- Ekran Görüntüsü
- File Yönetimi
- Kabuk Erişimi
MalwareBazaar Tags
Analysis Note
Bu örnek NjRAT zararlı yazılım ailesine ait olduğu belirlenen ve MalwareBazaar tehdit istihbarat platformundan alınan bir örnektir. KEYDAL Confidencelik Araştırmaları ekibi tarafından metadata analizi gerçekleştirilmiş ve IOC veritabanına eklenmiştir. Yukarıdaki hash değerlerini SIEM, EDR ve güvenlik duvarı çözümlerinize ekleyerek tespit kapsamınızı genişletebilirsiniz.
NjRAT — Malware Profile
njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.
Technical Details
TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera
Attribution / Threat Actor
Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.
Capabilities & Behavior
IOC List (2 indicators)
# SHA256
448d23c53cc9f4a1a97683474c4e2e7a45ac05570effebc9018924a2c3cc44dc
# MD5
6889cfb3137ffee92478c3c2bb2a7722
| Type | Value | Note |
|---|---|---|
| sha256 | 448d23c53cc9f4a1a97683474c4e2e7a45ac05570effebc9018924a2c3cc44dc | |
| md5 | 6889cfb3137ffee92478c3c2bb2a7722 |
C2 Servers (8 recorded servers for this family)
| Address | Type | Port | Protocol | Status | Country |
|---|---|---|---|---|---|
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| comodoca.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| comodoca.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.