파일 정보
| 속성 | 값 |
|---|---|
| SHA256 | db6463b751ef817b9b5638571833cef10b72adfa7bf460fc2ba2448af3249496 |
| MD5 | b904965e2232b8131769911f703b2e73 |
| SHA1 | |
| 파일 이름 | file (Go binary, NjRAT etiketli) |
| 크기 | 1,790,999 bytes |
| 아키텍처 | x64 (amd64) |
| 컴파일 날짜 | 알 수 없음 |
| Packer | Tespit edilmedi |
| MB 최초 발견 | 2026-06-29 |
| MB 태그 | exe, njrat, 54e64e, dropped-by-amadey |
위협 프로필
패밀리: NjRAT 분류: 높음 신뢰도: LOW
⚠️ NOT: Bu örnek (db6463b7) ve önceki örnek (a64e0733) aynı Amadey Loader kampanyasından droplanmış, aynı Go tabanlı binary ailesidir. "54e64e" etiket örtüşmesi aynı kampanyayı işaret etmektedir. Her iki örnekte de klasik NjRAT imzaları yerine Go runtime strings tespit edilmiştir. Bu ikili örnek, Amadey C2 altyapısının aynı hedeflere aynı yük dosyasının iki farklı varyantını gönderdiğini göstermektedir.
탐지된 기능
- Remote Access (Amadey loader zincirinden)
- Ağ iletişimi (Go net paketi)
- Sistem bilgisi toplama
- C2 iletişimi (şifreli)
Anti-Analiz Teknikleri
- Go binary obfuscation
- Şifreli veri bölümleri
Kalıcılık Mekanizmaları
Bilinmiyor
Enjeksiyon Teknikleri
- Tespit edilmedi (statik analizde obfuscated)
C2 Sunucuları
IOC Listesi
| Tip | 값 |
|---|---|
| sha256 | db6463b751ef817b9b5638571833cef10b72adfa7bf460fc2ba2448af3249496 |
| md5 | b904965e2232b8131769911f703b2e73 |
| domain | activeSweepmheap.fr |
| domain | atomic.Com |
| domain | bisect.de |
| domain | bits.Tr |
| domain | bytealg.Com |
| domain | cmp.Com |
| domain | destroy.fr |
| domain | dict.br |
| domain | dict.Com |
| domain | dict.me |
| domain | doSlow.de |
| domain | eq.io |
| domain | eq.reflect.me |
| domain | eq.reflect.Me |
| domain | eq.ru |
| domain | eq.runtime.Fr |
| domain | eq.runtime.tr |
| domain | eq.syscall.WS |
| domain | exithook.ru |
| domain | exithook.Ru |
| domain | exithook.Run.de |
| domain | Find.de |
| domain | flush.de |
| domain | fmtsort.com |
| domain | freemheap.fr |
| domain | godebug.ru |
| domain | godebugs.Info |
| domain | godebug.update.de |
| domain | handleMethods.de |
| domain | hash.ru |
Öneriler
- Hash değerlerini EDR/SIEM sistemlerinize ekleyin
- Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
- Registry autorun anahtarlarını periyodik kontrol edin
- MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
- Şüpheli process injection aktivitelerini izleyin
NjRAT — 악성코드 프로필
njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.
기술 세부 정보
TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera
귀속 / 위협 행위자
Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.
기능 및 동작
IOC 목록 (5 개 지표)
# SHA256
db6463b751ef817b9b5638571833cef10b72adfa7bf460fc2ba2448af3249496
# MD5
b904965e2232b8131769911f703b2e73
# DOMAIN
eq.runtime.Fr
# DOMAIN
eq.runtime.tr
# DOMAIN
handleMethods.de
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | db6463b751ef817b9b5638571833cef10b72adfa7bf460fc2ba2448af3249496 | |
| md5 | b904965e2232b8131769911f703b2e73 | |
| domain | eq.runtime.Fr | |
| domain | eq.runtime.tr | |
| domain | handleMethods.de |
C2 서버 (이 패밀리에 대해 8개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| comodoca.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| comodoca.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.