Manuel Statik Analiz — WarZone RAT (Ave Maria) | Tehdit: YUKSEK
Archivo Kimliği
| SHA256 | 536d2e05383047b6968704b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| Nombre de archivo | PO.exe (Purchase Order = Satın Alma Siparişi!) |
| Tamaño | 968.704 byte (946KB) |
| String Sayisi | 6.168 |
PO.exe: Satın Alma Siparişi İş Lürü
LÜR: İş dökümanı kılığında RAT!
PO.exe -- "PO" = Purchase Order (Satın Alma Siparişi) -- Tedarik zinciri hedefleme: finans, lojistik, tedarik departmanları -- "PO.exe" e-posta eki: "sipariş belgesi" beklentisiyle açılır -- WarZone RAT = AveMariaRAT (aynı yazılım, farklı adlar) -- Hedef: kurumsal satın alma personeli
http://sgames.ovh.org: OVH Gaming Domain C2
C2 TESPİT: OVH Fransa barındırmalı gaming domain!
http://sgames.ovh.org -- "sgames" = S Games (gaming site taklidi) -- "ovh.org" = OVH (Fransız bulut sağlayıcı) domain uzantısı -- OVH hosting: ucuz + anon + Avrupa'da popüler -- Gaming domain: "oyun sitesi" gibi görünür → firewall geçer -- HTTP (şifresiz): C2 iletişimi düz metin!
IOC
| SHA256 | 536d2e05383047b6968704b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| C2 | sgames.ovh.org |
| Lure | PO.exe (Purchase Order) |
WarZone — Perfil del malware
WarZone RAT AveMariaRAT. PO.exe purchase order. sgames.ovh.org OVH C2. HTTP plain text.
Tipo de malware
RAT
Lenguaje de programación
C++
Protocolo C2
HTTP
Sistemas objetivo
Küresel
Capacidades y comportamiento
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Lista IOC (1 indicadores)
IOC — WarZone
# SHA256
536d2e05383047b6968704b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 536d2e05383047b6968704b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
Servidores C2 (1 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| sgames.ovh.org | domain | 80 | HTTP | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.