CrimsonRAT -- Davet Mektubu Mumbai Lure, java-for-minecraft.com C2, Hint APT | Kritik

Manuel Statik Analiz — CrimsonRAT (Pakistan APT) | Tehdit: KRITIK

Fichier Kimliği

SHA256	`8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d`
Nom du fichier	Invitation-Letter-Fazel-Mumbai.iso
Taille	4.784.128 byte (ISO)
String Sayisi	25.344

Güney Asya Hedefleme Tuzağı

APT Hedef: "Mumbai'de Davet Mektubu" = Hindistan kurumsal hedefleme! Pakistan kaynaklı APT operasyonu.

Invitation-Letter-Fazel-Mumbai  -- Hindistan/Mumbai odaklı spear-phishing
-- Fazel = İslam kökenli isim → Pakistan→Hindistan APT hedefleme

Cleartext C2 Domain

http://java-for-minecraft.com/  -- AÇIK METİN C2 sunucusu
-- "Minecraft Java" gibi görünen meşru yazılım taklidi!
l2vD8Fitdl8qSVEp19.mE          -- Şifreli C2 fragmenti (.me TLD)

CrimsonRAT ve Pakistan APT Hakkında

CrimsonRAT, Transparent Tribe (APT36) olarak bilinen Pakistan devlet destekli tehdit aktörüne atfedilen uzaktan erişim trojanıdır. Propriétéle Hindistan hükümeti, ordusu ve savunma sanayii çalışanlarını hedefler. ISO/ZIP içinde meşru görünen belgelerle dağıtılır. Keylogger, ekran görüntüsü, dosya hırsızlığı ve reverse shell yetenekleri vardır.

IOC

SHA256	`8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d`
C2	java-for-minecraft.com
Lure	Invitation-Letter-Fazel-Mumbai ISO

CrimsonRAT — Profil du malware

CrimsonRAT APT36 Transparent Tribe Pakistan 2017. ICWA Mumbai Hindistan diplomatik lure. java-for-minecraft.com. .NET+Delphi.

Type de malware

RAT

Langage de programmation

.NET

Protocole C2

TCP

Systèmes ciblés

Hindistan, Pakistan — hukumet, savunma, think-tank

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — CrimsonRAT

# SHA256
8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d

Type	Valeur	Note
sha256	8690354fb8a8e640e9e4aa9c70444a099a818a27f35b3c5a4f7d0e2b6c9f1a3d

CrimsonRAT — Voir le profil complet →

Serveurs C2 (2 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
java-for-minecraft.com	domain	80	HTTP	active	—
java-for-minecraft.com	domain	80	HTTP	active	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.