| Hash / Información | Valor |
|---|---|
| SHA256 | f9fc23fe47d3c918c7bc24cbe14e56d9b0024e31660f2a280f3991291b3e5882 |
| MD5 | f31a91bff6bb5805f4f7b95c0a27cb2a |
| SHA1 | 8eeef2262c4288c035d7be99f27ce478dae008ce |
| ImpHash | 483f0c4259a9148c34961abbda6146c1 |
| Archivo Adi | win64_svchost.exe |
| Tipo de archivo | exe |
| Tamaño | 3,360,053 bytes |
| Primera detección | 2025-01-31 |
Tehdit Valorlendirmesi
Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.
Capacidades detectadas
- Uzaktan Erisim
- Keylogging
- Ekran Goruntüsü
- Archivo Yonetimi
- Kabuk Erisimi
Etiquetas de MalwareBazaar
Nota de análisis
Bu ornek QuasarRAT ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.
QuasarRAT — Perfil del malware
QuasarRAT acik kaynak uzaktan erisim araci. v1.4.0 istemcisi Quasar.Client.Recovery ile Chrome/Firefox/Edge/Yandex/WinSCP/FileZilla kimlik bilgilerini kurtarir. PGma.System.MouseKeyHook ile fare+klavye izlemesi yapar. Protobuf-net ile sifreli C2 iletisimi saglar. schtasks ile kalicilik.
Detalles técnicos
C# .NET, TLS/SSL sifreleme, TCP varsayilan port 4782, Remote Desktop, Process Manager, File Browser, Password Recovery, Reverse Proxy (SOCKS5), Keylogger, Registry Editor
Capacidades y comportamiento
Lista IOC (2 indicadores)
# SHA256
f9fc23fe47d3c918c7bc24cbe14e56d9b0024e31660f2a280f3991291b3e5882
# MD5
f31a91bff6bb5805f4f7b95c0a27cb2a
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | f9fc23fe47d3c918c7bc24cbe14e56d9b0024e31660f2a280f3991291b3e5882 | |
| md5 | f31a91bff6bb5805f4f7b95c0a27cb2a |
Servidores C2 (5 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| api.ipify.org | domain | 443 | HTTPS | active | — |
| ipwho.is | domain | 443 | HTTPS | active | — |
| hitclub.paris | domain | — | HTTP | active | — |
| 77.91.124.165 | ip | 4782 | TCP | inactive | — |
| 192.210.179.210 | ip | 4782 | TCP | inactive | US |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.