NetWire -- Triple Anti-Debug GetTickCount64+IsDebuggerPresent, Control Panel Registry | Orta

Manuel Statik Analiz — NetWire | Tehdit: MOYEN

Fichier Kimliği

SHA256	`00f01750994214b51462026b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Nom du fichier	x00f01750.exe (SHA256 hash önek ile sahte isim)
Taille	1.462.026 byte (1.4MB)
String Sayisi	5.945

Üçlü Anti-Debug

GetTickCount64       -- 64-bit mikrosaniye sayacı (zamanlama saldırısı)
IsDebuggerPresent    -- Debugger API tespiti
GetTickCount         -- 32-bit sayaç (eski API paralel kontrol)
-- Üçlü kontrol: farklı API'ler, farklı bypass metodları gerektirir
-- GetTickCount64: tek başına bypass edilebilir; üçü birden zor

Control Panel Registry Keylogger Hedefleri

Control Panel\Mouse       -- Fare hassasiyeti + hız ayarları
Control Panel\Appearance  -- Masaüstü görünüm/tema ayarları
-- NetWire bu registry key'lerini okuyarak kullanıcı profilini çıkarır
-- Mouse sensitivity → kullanıcı davranış imzası
-- Appearance settings → kurumsal/kişisel cihaz ayrımı

IOC

SHA256	`00f01750994214b51462026b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Anti-debug	GetTickCount64 + IsDebuggerPresent + GetTickCount

NetWire — Profil du malware

NetWireRAT. 88-hex ChaCha20 key+nonce. Embedded PCRE regex engine. Credential pattern matching.

Type de malware

RAT

Langage de programmation

Protocole C2

TCP

Systèmes ciblés

Windows/Linux/macOS

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — NetWire

# SHA256
00f01750994214b51462026b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2

Type	Valeur	Note
sha256	00f01750994214b51462026b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2	len=63

NetWire — Voir le profil complet →