CrimsonRAT -- Davet Mektubu Mumbai Lure, java-for-minecraft.com C2, Hint APT | Kritik

Manuel Statik Analiz — CrimsonRAT (Pakistan APT) | Tehdit: KRITIK

Arquivo Kimliği

SHA256	`8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d`
Nome do arquivo	Invitation-Letter-Fazel-Mumbai.iso
Tamanho	4.784.128 byte (ISO)
String Sayisi	25.344

Güney Asya Hedefleme Tuzağı

APT Hedef: "Mumbai'de Davet Mektubu" = Hindistan kurumsal hedefleme! Pakistan kaynaklı APT operasyonu.

Invitation-Letter-Fazel-Mumbai  -- Hindistan/Mumbai odaklı spear-phishing
-- Fazel = İslam kökenli isim → Pakistan→Hindistan APT hedefleme

Cleartext C2 Domain

http://java-for-minecraft.com/  -- AÇIK METİN C2 sunucusu
-- "Minecraft Java" gibi görünen meşru yazılım taklidi!
l2vD8Fitdl8qSVEp19.mE          -- Şifreli C2 fragmenti (.me TLD)

CrimsonRAT ve Pakistan APT Hakkında

CrimsonRAT, Transparent Tribe (APT36) olarak bilinen Pakistan devlet destekli tehdit aktörüne atfedilen uzaktan erişim trojanıdır. Propriedadele Hindistan hükümeti, ordusu ve savunma sanayii çalışanlarını hedefler. ISO/ZIP içinde meşru görünen belgelerle dağıtılır. Keylogger, ekran görüntüsü, dosya hırsızlığı ve reverse shell yetenekleri vardır.

IOC

SHA256	`8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d`
C2	java-for-minecraft.com
Lure	Invitation-Letter-Fazel-Mumbai ISO

CrimsonRAT — Perfil do malware

CrimsonRAT APT36 Transparent Tribe Pakistan 2017. ICWA Mumbai Hindistan diplomatik lure. java-for-minecraft.com. .NET+Delphi.

Tipo de malware

RAT

Linguagem de programação

.NET

Protocolo C2

TCP

Sistemas-alvo

Hindistan, Pakistan — hukumet, savunma, think-tank

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — CrimsonRAT

# SHA256
8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d

Tipo	Valor	Nota
sha256	8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d

CrimsonRAT — Ver perfil completo →

Servidores C2 (2 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
java-for-minecraft.com	domain	80	HTTP	active	—
java-for-minecraft.com	domain	80	HTTP	active	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.