Manuel Statik Analiz (LLM Okumali) — WarzoneRAT (AveMaria) | Tehdit: YUKSEK

Arquivo Kimligi

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
Arquivo AdiVvdsupbjet.exe (rastgele isimli)
Platform.NET (AES sifrelenmis C2)
Tamanho363.008 byte
String Sayisi1.858

Sifreleme Kaniti

CreateDecryptor -- .NET AES sifresi
CreateEncryptor -- .NET AES sifresi
LegalKeySizesValue, set_KeySize, KeySizes -- AES anahtar konfigurasyon

WarzoneRAT Hakkinda

WarzoneRAT (AveMaria), 2018 yilindan bu yana aktif olan C++ tabanli bir RAT ailesidir. Mevcut aile MaaS (Malware-as-a-Service) olarak satilmaktadir. Yetenekleri: HVNC (Gizli Masaustu), Keylogger, Password Grabber, Uzaktan Shell, Kamera erisimi, UAC Bypass, Process Enjeksiyonu. C++ implant; .NET ise wrapper veya builder.

IOC

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
C2AES sifrelenmis (runtime decrypt)
Platform.NET AES

WarzoneRAT — Perfil do malware

WarzoneRAT Ave Maria RAT. 2026 itibariyla aktif. Tarih prefixli dagitim. Config karması 45A06E. Uclu anti-debug.

Tipo de malware
RAT
Linguagem de programação
C++
Protocolo C2
TCP
Sistemas-alvo
Windows
Também conhecido como (AKA)
Ave Maria

Detalhes técnicos

C++, AES-256 sifreleme, TCP, Hidden VNC, DVD kamera, Stealer, Privilege escalation, Anti-sandbox (CPUID kontrol), Bot iletisimi JSON tabanli

Atribuição / Ator da ameaça

Daniel Meli (Malta) tarafindan yonetilen MaaS operasyonu. 2024'te FBI tarafindan tutuklanmis ve botnet altyapisi cokertilmistir.

Capacidades e comportamento

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — WarzoneRAT
# SHA256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
TipoValorNota
sha256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
WarzoneRAT — Ver perfil completo →

Servidores C2 (2 servidores registrados para esta família)

Endereço Tipo Porta Protocolo Status País
185.216.36.143 ip 4500 TCP inactive BG
cloudflareprotected.xyz domain 5200 TCP inactive RU

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.

Tags
warzoneratavemarianetaesratsifreli