NanoCore — FC548DA0AD5F2287F91391C04343E3B5.exe [aa009012]

Tehdit Degerlendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

Tespit Edilen Yetenekler

• Uzaktan Erisim
• Keylogging
• Ekran Goruntüsü
• Dosya Yonetimi
• Kabuk Erisimi

MalwareBazaar Etiketleri

Analiz Notu

Bu ornek NanoCore ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

NanoCore — Perfil do malware

NanoCore RAT .NET. HP scanner lures. FqStwIZtCP PDB path recurring. Plugin: GetConfig/SetConfig/conjugatePair.

Tipo de malware

RAT

Linguagem de programação

.NET

Protocolo C2

TCP

Sistemas-alvo

Windows

Detalhes técnicos

.NET, plugin tabanli (DLL eklentiler), AES-128 sifreleme, port TCP dinamik, Mutex rastgele GUID, GetAsyncKeyState keylogger, Clipboard monitor, Remote Shell (cmd.exe), Hidden VNC, Password Recovery

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (2 indicadores)

IOC — NanoCore Copiar

# SHA256 aa00901223c0e2b915dc9efd5e81c4a53e2321858a85dbbb196fca998856a721 # MD5 fc548da0ad5f2287f91391c04343e3b5

Tipo	Valor	Nota
sha256	aa00901223c0e2b915dc9efd5e81c4a53e2321858a85dbbb196fca998856a721
md5	fc548da0ad5f2287f91391c04343e3b5

Servidores C2 (4 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
pk68.io	domain	443	HTTPS	inactive	—
195.3.221.139	ip	4782	TCP	inactive	RO
UNKNOWN_HOST	unknown	8918	TCP	inactive	—
37.140.192.146	ip	7707	TCP	sinkholed	UA

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.