CrimsonRAT -- Davet Mektubu Mumbai Lure, java-for-minecraft.com C2, Hint APT | Kritik

Manuel Statik Analiz — CrimsonRAT (Pakistan APT) | Tehdit: KRITIK

Datei Kimliği

SHA256	`8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d`
Dateiname	Invitation-Letter-Fazel-Mumbai.iso
Größe	4.784.128 byte (ISO)
String Sayisi	25.344

Güney Asya Hedefleme Tuzağı

APT Hedef: "Mumbai'de Davet Mektubu" = Hindistan kurumsal hedefleme! Pakistan kaynaklı APT operasyonu.

Invitation-Letter-Fazel-Mumbai  -- Hindistan/Mumbai odaklı spear-phishing
-- Fazel = İslam kökenli isim → Pakistan→Hindistan APT hedefleme

Cleartext C2 Domain

http://java-for-minecraft.com/  -- AÇIK METİN C2 sunucusu
-- "Minecraft Java" gibi görünen meşru yazılım taklidi!
l2vD8Fitdl8qSVEp19.mE          -- Şifreli C2 fragmenti (.me TLD)

CrimsonRAT ve Pakistan APT Hakkında

CrimsonRAT, Transparent Tribe (APT36) olarak bilinen Pakistan devlet destekli tehdit aktörüne atfedilen uzaktan erişim trojanıdır. Eigenschaftle Hindistan hükümeti, ordusu ve savunma sanayii çalışanlarını hedefler. ISO/ZIP içinde meşru görünen belgelerle dağıtılır. Keylogger, ekran görüntüsü, dosya hırsızlığı ve reverse shell yetenekleri vardır.

IOC

SHA256	`8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d`
C2	java-for-minecraft.com
Lure	Invitation-Letter-Fazel-Mumbai ISO

CrimsonRAT — Malware-Profil

CrimsonRAT APT36 Transparent Tribe Pakistan 2017. ICWA Mumbai Hindistan diplomatik lure. java-for-minecraft.com. .NET+Delphi.

Malware-Typ

RAT

Programmiersprache

.NET

C2-Protokoll

TCP

Zielsysteme

Hindistan, Pakistan — hukumet, savunma, think-tank

Fähigkeiten & Verhalten

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC-Liste (1 Indikatoren)

IOC — CrimsonRAT

# SHA256
8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d

Typ	Wert	Bemerkung
sha256	8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d

CrimsonRAT — Zum vollständigen Profil →

C2-Server (2 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
java-for-minecraft.com	domain	80	HTTP	active	—
java-for-minecraft.com	domain	80	HTTP	active	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.