XWorm — invoice-1645080830.pdf (9).js [79ce22de]

XWorm | Nivel de amenaza: high | Tipo: RAT

Identificadores criptográficos

SHA256	`79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6`
MD5	`1c9ca020eac91d8ec69d1bc277ca0507`
Tipo de archivo	js
Tamaño	23383.3 KB
Primera detección	2026-04-30
Nombre de archivo	invoice-1645080830.pdf (9).js
Etiquetas	js, xworm

Familia de malware: XWorm

XWorm, 2022'de ortaya çıkan çok işlevli RAT'tır.

Tipo	RAT
Lenguaje de programación	.NET C#
Plataforma objetivo	Windows
Protocolo C2	TCP
Propósito	Uzaktan erişim, infostealer
Año de primera detección	2022

Indicadores de amenaza (IOC)

SHA256: 79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
MD5: 1c9ca020eac91d8ec69d1bc277ca0507

Guía de limpieza del sistema

Desconecte el sistema de la red: desenchufe el ethernet, desactive el Wi-Fi
Finalice los procesos sospechosos desde el Administrador de tareas
Realice un análisis completo del sistema con Malwarebytes o Kaspersky
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
Revise las tareas recién creadas en el Programador de tareas
Cambie todas las contraseñas de sus cuentas desde un dispositivo limpio
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

Sugerencias de reglas YARA

rule XWorm_SHA256 {
    meta:
        description = "XWorm sample: 79ce22dee7148ab7"
        threat_level = "high"
        first_seen = "2026-04-30"
    condition:
        hash.sha256(0, filesize) == "79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6"
}

XWorm — Perfil del malware

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

Tipo de malware

RAT

Lenguaje de programación

.NET C#

Protocolo C2

TCP

Sistemas objetivo

Windows

Detalles técnicos

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

Capacidades y comportamiento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (19 indicadores)

IOC — XWorm

# SHA256
79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6

# MD5
1c9ca020eac91d8ec69d1bc277ca0507

# IP
194.233.74.111 

# IP
185.105.6.34 

# IP
5.75.176.228 

# IP
185.220.101.92 

# IP
91.92.241.73 

# IP
91.92.246.33 

# IP
185.165.169.77 

# DOMAIN
xwormpanel.xyz 

# DOMAIN
xworm-update-checker.com 

# MUTEX
XWorm_V5.2_MUTEX 

# MUTEX
Global{8d290ab1-xworm} 

# MUTEX
XWorm_Mutex_v5.6 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm 

# FILEPATH
%APPDATA%XWormXWorm.exe 

# FILEPATH
%APPDATA%WindowsSystemXTask.exe 

# URL
https://xworm-updates.xyz/v5.2.exe

Tipo	Valor	Nota
sha256	79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
md5	1c9ca020eac91d8ec69d1bc277ca0507
ip	194.233.74.111	C2:7878
ip	185.105.6.34	C2:1234
ip	5.75.176.228	C2:7877
ip	185.220.101.92	XWorm C2 Tor proxy
ip	91.92.241.73	XWorm aktif C2
ip	91.92.246.33	C2:7707
ip	185.165.169.77	C2:7707
domain	xwormpanel.xyz	XWorm C2 panel domain
domain	xworm-update-checker.com	XWorm fake update domain
mutex	XWorm_V5.2_MUTEX	XWorm v5.2 standart mutex
mutex	Global{8d290ab1-xworm}	XWorm GUID tabanli mutex
mutex	XWorm_Mutex_v5.6	XWorm v5.6 mutex
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update	XWorm persistence key
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm	XWorm persistence
filepath	%APPDATA%XWormXWorm.exe	XWorm persistence directory
filepath	%APPDATA%WindowsSystemXTask.exe	XWorm persistence dosyasi
url	https://xworm-updates.xyz/v5.2.exe	XWorm v5.2 dropper URL

XWorm — Ver perfil completo →

Servidores C2 (8 servidores registrados para esta familia)

Dirección	Tipo	Puerto	Protocolo	Estado	País
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
github.com	domain	—	TCP	active	—
system.io	domain	—	TCP	inactive	—
system.io	domain	—	TCP	inactive	—

Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.

Etiquetas

xwormratmalwarehighsha256analizzenginleştirilmiş