Manuel Statik Analiz (LLM Okumali) — WarzoneRAT (AveMaria) | Tehdit: YUKSEK

Datei Kimligi

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
Datei AdiVvdsupbjet.exe (rastgele isimli)
Platform.NET (AES sifrelenmis C2)
Größe363.008 byte
String Sayisi1.858

Sifreleme Kaniti

CreateDecryptor -- .NET AES sifresi
CreateEncryptor -- .NET AES sifresi
LegalKeySizesValue, set_KeySize, KeySizes -- AES anahtar konfigurasyon

WarzoneRAT Hakkinda

WarzoneRAT (AveMaria), 2018 yilindan bu yana aktif olan C++ tabanli bir RAT ailesidir. Mevcut aile MaaS (Malware-as-a-Service) olarak satilmaktadir. Yetenekleri: HVNC (Gizli Masaustu), Keylogger, Password Grabber, Uzaktan Shell, Kamera erisimi, UAC Bypass, Process Enjeksiyonu. C++ implant; .NET ise wrapper veya builder.

IOC

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
C2AES sifrelenmis (runtime decrypt)
Platform.NET AES

WarzoneRAT — Malware-Profil

WarzoneRAT Ave Maria RAT. 2026 itibariyla aktif. Tarih prefixli dagitim. Config karması 45A06E. Uclu anti-debug.

Malware-Typ
RAT
Programmiersprache
C++
C2-Protokoll
TCP
Zielsysteme
Windows
Auch bekannt als (AKA)
Ave Maria

Technische Details

C++, AES-256 sifreleme, TCP, Hidden VNC, DVD kamera, Stealer, Privilege escalation, Anti-sandbox (CPUID kontrol), Bot iletisimi JSON tabanli

Attribution / Bedrohungsakteur

Daniel Meli (Malta) tarafindan yonetilen MaaS operasyonu. 2024'te FBI tarafindan tutuklanmis ve botnet altyapisi cokertilmistir.

Fähigkeiten & Verhalten

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOC-Liste (1 Indikatoren)

IOC — WarzoneRAT
# SHA256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
TypWertBemerkung
sha256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
WarzoneRAT — Zum vollständigen Profil →

C2-Server (2 erfasste Server für diese Familie)

Adresse Typ Port Protokoll Status Land
185.216.36.143 ip 4500 TCP inactive BG
cloudflareprotected.xyz domain 5200 TCP inactive RU

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.

Tags
warzoneratavemarianetaesratsifreli