NjRAT (Bladabindi) — avicap32 Webcam Capture, CsAntiProcess, TcpClient GZipStream | Yuksek

Manuel Statik Analiz (LLM Okumali) — NjRAT (Bladabindi) | Tehdit: YUKSEK

Fichier Kimligi

SHA256	`39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13`
Taille	95.232 byte
Platform	.NET 2.0 (v2.0.50727)
String Sayisi	998

Famille Tespit Imzalari

NjRAT imzalari string analizi sonucunda dogrulandi:

avicap32.dll              -- Webcam API kutuphanesi (NjRAT cam ozelliginin imzasi)
capGetDriverDescriptionA  -- Webcam surucu listeleme (NjRAT'a ozgu)
CsAntiProcess             -- NjRAT'in anti-AV/process killing modulu
TcpClient                 -- TCP baglanti objesi
GZipStream                -- Veri sikistirma (exfiltration oncesi)
Socket / Connect          -- Agdan ag iletisimi
Screen / get_PrimaryScreen / CopyFromScreen  -- Ekran yakalama
ClipboardProxy / Clipboard   -- Pano erisimi
GetActiveTcpConnections   -- Aktif TCP baglanti listesi
timx_run / timy_run       -- Timer tabanli geri arama

NjRAT Yetenekleri

Ozellik	Detay
Webcam	avicap32.dll ile canli goruntuleme
Keylogger	GetAsyncKeyState tabanli tus kaydi
Screenshot	CopyFromScreen ile ekran goruntusu
Clipboard	Pano iceriklerini oku/degistir
Fichier Yonetimi	Upload/download, silme, olusturma
Komut Satiri	Uzaktan cmd/PowerShell
Anti-AV	CsAntiProcess ile AV proseslerini kapat
Sikistirma	GZip ile veri sikistirma (bant genisligi)

NjRAT Hakkinda

NjRAT (Bladabindi olarak da bilinir), 2013 yilinda nj/njq8 takma adiyla bilinen bir gelistirici tarafindan Orta Dogu'daki kullanicilari hedefleyerek yazilmistir. VB.NET tabanlidir ve acik kaynak kodundan turetilen onlarca varyanti mevcuttur. Orta Dogu, Kuzey Afrika ve Asya'da yaygin; hukumet ve ordu kurumlarini hedef alan APT gruplarinca da kullanilmaktadir.

IOC

SHA256	`39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13`
Imzalar	avicap32.dll, capGetDriverDescriptionA, CsAntiProcess
Platform	.NET v2.0.50727
C2	Runtime (TcpClient hardcoded config)

NjRAT — Profil du malware

njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.

Type de malware

RAT

Langage de programmation

VB.NET

Protocole C2

TCP (varsayilan port 1177)

Systèmes ciblés

Windows

Aussi connu sous (AKA)

Bladabindi, H-Worm, houdini

Détails techniques

TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera

Attribution / Acteur de la menace

Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — NjRAT

# SHA256
39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13

Type	Valeur	Note
sha256	39cbd2d2299ebbc1eba6bb1ffab7d87f0016715fb237d0a1a253262b4b9cea13

NjRAT — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
comodoca.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.