XWorm — invoice-1645080830.pdf (9).js [79ce22de]

XWorm | Bedrohungsstufe: high | Typ: RAT

Kryptografische Kennungen

SHA256	`79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6`
MD5	`1c9ca020eac91d8ec69d1bc277ca0507`
Dateityp	js
Größe	23383.3 KB
Erstsichtung	2026-04-30
Dateiname	invoice-1645080830.pdf (9).js
Tags	js, xworm

Malware-Familie: XWorm

XWorm, 2022'de ortaya çıkan çok işlevli RAT'tır.

Typ	RAT
Programmiersprache	.NET C#
Zielplattform	Windows
C2-Protokoll	TCP
Zweck	Uzaktan erişim, infostealer
Jahr der Erstsichtung	2022

Bedrohungsindikatoren (IOC)

SHA256: 79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
MD5: 1c9ca020eac91d8ec69d1bc277ca0507

Anleitung zur Systembereinigung

Trennen Sie das System vom Netzwerk — Ethernet abziehen, WLAN deaktivieren
Beenden Sie verdächtige Prozesse im Task-Manager
Führen Sie einen vollständigen Systemscan mit Malwarebytes oder Kaspersky durch
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
Prüfen Sie neu erstellte Aufgaben in der Aufgabenplanung
Ändern Sie alle Kontopasswörter von einem sauberen Gerät aus
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

Hinweise für YARA-Regeln

rule XWorm_SHA256 {
    meta:
        description = "XWorm sample: 79ce22dee7148ab7"
        threat_level = "high"
        first_seen = "2026-04-30"
    condition:
        hash.sha256(0, filesize) == "79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6"
}

XWorm — Malware-Profil

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

Malware-Typ

RAT

Programmiersprache

.NET C#

C2-Protokoll

TCP

Zielsysteme

Windows

Technische Details

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

Fähigkeiten & Verhalten

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOC-Liste (19 Indikatoren)

IOC — XWorm

# SHA256
79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6

# MD5
1c9ca020eac91d8ec69d1bc277ca0507

# IP
194.233.74.111 

# IP
185.105.6.34 

# IP
5.75.176.228 

# IP
185.220.101.92 

# IP
91.92.241.73 

# IP
91.92.246.33 

# IP
185.165.169.77 

# DOMAIN
xwormpanel.xyz 

# DOMAIN
xworm-update-checker.com 

# MUTEX
XWorm_V5.2_MUTEX 

# MUTEX
Global{8d290ab1-xworm} 

# MUTEX
XWorm_Mutex_v5.6 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm 

# FILEPATH
%APPDATA%XWormXWorm.exe 

# FILEPATH
%APPDATA%WindowsSystemXTask.exe 

# URL
https://xworm-updates.xyz/v5.2.exe

Typ	Wert	Bemerkung
sha256	79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
md5	1c9ca020eac91d8ec69d1bc277ca0507
ip	194.233.74.111	C2:7878
ip	185.105.6.34	C2:1234
ip	5.75.176.228	C2:7877
ip	185.220.101.92	XWorm C2 Tor proxy
ip	91.92.241.73	XWorm aktif C2
ip	91.92.246.33	C2:7707
ip	185.165.169.77	C2:7707
domain	xwormpanel.xyz	XWorm C2 panel domain
domain	xworm-update-checker.com	XWorm fake update domain
mutex	XWorm_V5.2_MUTEX	XWorm v5.2 standart mutex
mutex	Global{8d290ab1-xworm}	XWorm GUID tabanli mutex
mutex	XWorm_Mutex_v5.6	XWorm v5.6 mutex
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update	XWorm persistence key
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm	XWorm persistence
filepath	%APPDATA%XWormXWorm.exe	XWorm persistence directory
filepath	%APPDATA%WindowsSystemXTask.exe	XWorm persistence dosyasi
url	https://xworm-updates.xyz/v5.2.exe	XWorm v5.2 dropper URL

XWorm — Zum vollständigen Profil →

C2-Server (8 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
github.com	domain	—	TCP	active	—
system.io	domain	—	TCP	inactive	—
system.io	domain	—	TCP	inactive	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.