XWorm — invoice-1645080830.pdf (9).js [79ce22de]

XWorm | Nível de ameaça: high | Tipo: RAT

Identificadores criptográficos

SHA256	`79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6`
MD5	`1c9ca020eac91d8ec69d1bc277ca0507`
Tipo de arquivo	js
Tamanho	23383.3 KB
Primeira detecção	2026-04-30
Nome do arquivo	invoice-1645080830.pdf (9).js
Tags	js, xworm

Família de malware: XWorm

XWorm, 2022'de ortaya çıkan çok işlevli RAT'tır.

Tipo	RAT
Linguagem de programação	.NET C#
Plataforma alvo	Windows
Protocolo C2	TCP
Finalidade	Uzaktan erişim, infostealer
Ano da primeira detecção	2022

Indicadores de ameaça (IOC)

SHA256: 79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
MD5: 1c9ca020eac91d8ec69d1bc277ca0507

Guia de limpeza do sistema

Desconecte o sistema da rede — retire o cabo ethernet, desative o Wi-Fi
Encerre processos suspeitos pelo Gerenciador de Tarefas
Faça uma verificação completa do sistema com Malwarebytes ou Kaspersky
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
Analise as tarefas recém-criadas no Agendador de Tarefas
Altere todas as senhas das suas contas a partir de um dispositivo limpo
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

Dicas de regras YARA

rule XWorm_SHA256 {
    meta:
        description = "XWorm sample: 79ce22dee7148ab7"
        threat_level = "high"
        first_seen = "2026-04-30"
    condition:
        hash.sha256(0, filesize) == "79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6"
}

XWorm — Perfil do malware

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

Tipo de malware

RAT

Linguagem de programação

.NET C#

Protocolo C2

TCP

Sistemas-alvo

Windows

Detalhes técnicos

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (19 indicadores)

IOC — XWorm

# SHA256
79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6

# MD5
1c9ca020eac91d8ec69d1bc277ca0507

# IP
194.233.74.111 

# IP
185.105.6.34 

# IP
5.75.176.228 

# IP
185.220.101.92 

# IP
91.92.241.73 

# IP
91.92.246.33 

# IP
185.165.169.77 

# DOMAIN
xwormpanel.xyz 

# DOMAIN
xworm-update-checker.com 

# MUTEX
XWorm_V5.2_MUTEX 

# MUTEX
Global{8d290ab1-xworm} 

# MUTEX
XWorm_Mutex_v5.6 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm 

# FILEPATH
%APPDATA%XWormXWorm.exe 

# FILEPATH
%APPDATA%WindowsSystemXTask.exe 

# URL
https://xworm-updates.xyz/v5.2.exe

Tipo	Valor	Nota
sha256	79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
md5	1c9ca020eac91d8ec69d1bc277ca0507
ip	194.233.74.111	C2:7878
ip	185.105.6.34	C2:1234
ip	5.75.176.228	C2:7877
ip	185.220.101.92	XWorm C2 Tor proxy
ip	91.92.241.73	XWorm aktif C2
ip	91.92.246.33	C2:7707
ip	185.165.169.77	C2:7707
domain	xwormpanel.xyz	XWorm C2 panel domain
domain	xworm-update-checker.com	XWorm fake update domain
mutex	XWorm_V5.2_MUTEX	XWorm v5.2 standart mutex
mutex	Global{8d290ab1-xworm}	XWorm GUID tabanli mutex
mutex	XWorm_Mutex_v5.6	XWorm v5.6 mutex
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update	XWorm persistence key
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm	XWorm persistence
filepath	%APPDATA%XWormXWorm.exe	XWorm persistence directory
filepath	%APPDATA%WindowsSystemXTask.exe	XWorm persistence dosyasi
url	https://xworm-updates.xyz/v5.2.exe	XWorm v5.2 dropper URL

XWorm — Ver perfil completo →

Servidores C2 (8 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
github.com	domain	—	TCP	active	—
system.io	domain	—	TCP	inactive	—
system.io	domain	—	TCP	inactive	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.