파일 정보
| 속성 | 값 |
|---|---|
| SHA256 | a64e0733553c506a1e0785f0bca26406abc3ce0c4256697e377a1b967be36677 |
| MD5 | c932d4c3f54e3902d57abff3c58e09b6 |
| SHA1 | |
| 파일 이름 | file (Go binary, NjRAT etiketli) |
| 크기 | 1,791,384 bytes |
| 아키텍처 | x64 (amd64) |
| 컴파일 날짜 | 알 수 없음 |
| Packer | Tespit edilmedi |
| MB 최초 발견 | 2026-06-29 |
| MB 태그 | exe, njrat, d52f85, dropped-by-amadey |
위협 프로필
패밀리: NjRAT 분류: 높음 신뢰도: LOW
⚠️ ÖNEMLİ NOT: Bu örnek MalwareBazaar tarafından "njrat" olarak etiketlenmişse de statik analiz Golang ile yazılmış bir binary olduğunu ortaya koymaktadır. Strings analizinde "Go build ID: YD5mHnHgmfz77..." tespit edilmiş, klasik VB.NET/VB6 NjRAT imzaları bulunamamıştır. "dropped-by-amadey" ve "d52f85" etiketleri, bu örneğin Amadey Loader kampanyasının parçası olarak dağıtıldığını göstermektedir. Binwalk analizi mcrypt Blowfish-448 şifrelenmiş veri bölümü tespit etmiştir — C2 konfigürasyonu büyük ihtimalle burada saklanmaktadır. Etiket yanıltıcı olabilir; dinamik analiz önerilir.
탐지된 기능
- Remote Access (Amadey loader zincirinden)
- Ağ iletişimi (Go net paketi)
- Sistem bilgisi toplama
- C2 iletişimi (şifreli, tespit edilemedi)
Anti-Analiz Teknikleri
- Go binary obfuscation (rodata şifreli)
- MCrypt Blowfish-448 şifrelenmiş veri bölümü (binwalk tespiti)
Kalıcılık Mekanizmaları
Bilinmiyor (statik analizde tespit edilemedi)
Enjeksiyon Teknikleri
- 알 수 없음
C2 Sunucuları
IOC Listesi
| Tip | 값 |
|---|---|
| sha256 | a64e0733553c506a1e0785f0bca26406abc3ce0c4256697e377a1b967be36677 |
| md5 | c932d4c3f54e3902d57abff3c58e09b6 |
| domain | activeSweepmheap.fr |
| domain | atomic.Com |
| domain | bisect.de |
| domain | bits.Tr |
| domain | bytealg.Com |
| domain | cmp.Com |
| domain | destroy.fr |
| domain | dict.br |
| domain | dict.Com |
| domain | dict.me |
| domain | doSlow.de |
| domain | eq.io |
| domain | eq.reflect.me |
| domain | eq.reflect.Me |
| domain | eq.ru |
| domain | eq.runtime.Fr |
| domain | eq.runtime.tr |
| domain | eq.syscall.WS |
| domain | exithook.ru |
| domain | exithook.Ru |
| domain | exithook.Run.de |
| domain | Find.de |
| domain | flush.de |
| domain | fmtsort.com |
| domain | freemheap.fr |
| domain | godebug.ru |
| domain | godebugs.Info |
| domain | godebug.update.de |
| domain | handleMethods.de |
| domain | hash.ru |
Öneriler
- Hash değerlerini EDR/SIEM sistemlerinize ekleyin
- Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
- Registry autorun anahtarlarını periyodik kontrol edin
- MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
- Şüpheli process injection aktivitelerini izleyin
NjRAT — 악성코드 프로필
njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.
기술 세부 정보
TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera
귀속 / 위협 행위자
Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.
기능 및 동작
IOC 목록 (5 개 지표)
# SHA256
a64e0733553c506a1e0785f0bca26406abc3ce0c4256697e377a1b967be36677
# MD5
c932d4c3f54e3902d57abff3c58e09b6
# DOMAIN
eq.runtime.Fr
# DOMAIN
eq.runtime.tr
# DOMAIN
handleMethods.de
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | a64e0733553c506a1e0785f0bca26406abc3ce0c4256697e377a1b967be36677 | |
| md5 | c932d4c3f54e3902d57abff3c58e09b6 | |
| domain | eq.runtime.Fr | |
| domain | eq.runtime.tr | |
| domain | handleMethods.de |
C2 서버 (이 패밀리에 대해 8개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| comodoca.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| comodoca.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.