Manuel Statik Analiz (LLM Okumali) — WarzoneRAT (AveMaria) | Tehdit: YUKSEK

Archivo Kimligi

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
Archivo AdiVvdsupbjet.exe (rastgele isimli)
Platform.NET (AES sifrelenmis C2)
Tamaño363.008 byte
String Sayisi1.858

Sifreleme Kaniti

CreateDecryptor -- .NET AES sifresi
CreateEncryptor -- .NET AES sifresi
LegalKeySizesValue, set_KeySize, KeySizes -- AES anahtar konfigurasyon

WarzoneRAT Hakkinda

WarzoneRAT (AveMaria), 2018 yilindan bu yana aktif olan C++ tabanli bir RAT ailesidir. Mevcut aile MaaS (Malware-as-a-Service) olarak satilmaktadir. Yetenekleri: HVNC (Gizli Masaustu), Keylogger, Password Grabber, Uzaktan Shell, Kamera erisimi, UAC Bypass, Process Enjeksiyonu. C++ implant; .NET ise wrapper veya builder.

IOC

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
C2AES sifrelenmis (runtime decrypt)
Platform.NET AES

WarzoneRAT — Perfil del malware

WarzoneRAT Ave Maria RAT. 2026 itibariyla aktif. Tarih prefixli dagitim. Config karması 45A06E. Uclu anti-debug.

Tipo de malware
RAT
Lenguaje de programación
C++
Protocolo C2
TCP
Sistemas objetivo
Windows
También conocido como (AKA)
Ave Maria

Detalles técnicos

C++, AES-256 sifreleme, TCP, Hidden VNC, DVD kamera, Stealer, Privilege escalation, Anti-sandbox (CPUID kontrol), Bot iletisimi JSON tabanli

Atribución / Actor de amenaza

Daniel Meli (Malta) tarafindan yonetilen MaaS operasyonu. 2024'te FBI tarafindan tutuklanmis ve botnet altyapisi cokertilmistir.

Capacidades y comportamiento

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — WarzoneRAT
# SHA256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
TipoValorNota
sha256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
WarzoneRAT — Ver perfil completo →

Servidores C2 (2 servidores registrados para esta familia)

Dirección Tipo Puerto Protocolo Estado País
185.216.36.143 ip 4500 TCP inactive BG
cloudflareprotected.xyz domain 5200 TCP inactive RU

Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.

Etiquetas
warzoneratavemarianetaesratsifreli