Manuel Statik Analiz — NanoCore RAT | Tehdit: YUKSEK

Archivo Kimliği

SHA2564eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e
Nombre de archivopk68.io.exe
Tamaño207.872 byte
String Sayisi286 (yoğun sıkıştırma)

Geliştirici PDB İzi

C:\crysis\Release\PDB\payload.pdb
-- Geliştirici "crysis" proje adını kullanıyor
-- Ransomware kültüründen esinlenmiş adlandırma

NanoCore Hakkında

NanoCore RAT, 2013'ten beri aktif .NET tabanlı uzaktan erişim trojanıdır. Plugin mimarisi ile keylogger, ekran kayıt, dosya yönetimi, uzaktan shell, DDoS ve kripto madenciliği destekler. 2015'te kaynak kodu sızdırılmış, sonraki versiyonlar daha gelişmiş kriptolanmış C2 kullanan çeşitli varyantlarla yayılmıştır.

IOC

SHA2564eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e
PDB YoluC:\crysis\Release\PDB\payload.pdb

NanoCore — Perfil del malware

NanoCore RAT .NET. HP scanner lures. FqStwIZtCP PDB path recurring. Plugin: GetConfig/SetConfig/conjugatePair.

Tipo de malware
RAT
Lenguaje de programación
.NET
Protocolo C2
TCP
Sistemas objetivo
Windows

Detalles técnicos

.NET, plugin tabanli (DLL eklentiler), AES-128 sifreleme, port TCP dinamik, Mutex rastgele GUID, GetAsyncKeyState keylogger, Clipboard monitor, Remote Shell (cmd.exe), Hidden VNC, Password Recovery

Capacidades y comportamiento

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — NanoCore
# SHA256 4eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e
TipoValorNota
sha256 4eca71001daaabb1f7e75c4c8dff31b1b8c37e8b6e6e2f3d8e4e2f7b2c9d1a0e
NanoCore — Ver perfil completo →

Servidores C2 (4 servidores registrados para esta familia)

Dirección Tipo Puerto Protocolo Estado País
pk68.io domain 443 HTTPS inactive —
195.3.221.139 ip 4782 TCP inactive RO
UNKNOWN_HOST unknown 8918 TCP inactive —
37.140.192.146 ip 7707 TCP sinkholed UA

Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.

Etiquetas
nanocoreratnetpdb-crysissifrelenmis