NjRAT — Örnek SHA256: 80261544 | High Tehdit Analizi

NjRAT | Tehdit Seviyesi: high | Tür: RAT

Kriptografik Tanımlayıcılar

SHA256	`80261544c5dc536f76775ab6e5c0aad91ba934a86a201a97c90ccbc4f097e7f0`
MD5	`f903725758e03a781a2422d8aa33536e`
Dosya Türü	exe
Boyut	65.5 KB
İlk Görülme	2025-08-12
Dosya Adı	test.exe
Etiketler	exe, NjRAT, RAT

Malware Ailesi: NjRAT

NjRAT, yaygın RAT'tır.

Tür	RAT
Programlama Dili	VB.NET
Hedef Platform	Windows
C2 Protokolü	TCP
Amaç	Uzaktan erişim
İlk Görülen Yıl	2012
Diğer İsimler	Bladabindi

Tehdit Göstergeleri (IOC)

SHA256: 80261544c5dc536f76775ab6e5c0aad91ba934a86a201a97c90ccbc4f097e7f0
MD5: f903725758e03a781a2422d8aa33536e

Bu örneğin tüm hash değerlerini VirusTotal üzerinde doğrulayabilirsiniz.

Sistem Temizleme Rehberi

Sistemi ağdan ayırın — ethernet çıkarın, Wi-Fi devre dışı bırakın
Görev Yöneticisi'nden şüpheli process'leri sonlandırın
Malwarebytes veya Kaspersky ile tam sistem taraması yapın
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
Yeni oluşturulan görevleri Task Scheduler'dan inceleyin
Tüm hesap şifrelerinizi güvenli bir cihazdan değiştirin
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

YARA Kuralı İpuçları

rule NjRAT_SHA256 {
    meta:
        description = "NjRAT sample: 80261544c5dc536f"
        threat_level = "high"
        first_seen = "2025-08-12"
    condition:
        hash.sha256(0, filesize) == "80261544c5dc536f76775ab6e5c0aad91ba934a86a201a97c90ccbc4f097e7f0"
}

NjRAT — Profil du malware

njRAT Bladabindi. Spanish cotizacion lure. get_Panel1 C2 panel. MENA + Latin America targeting.

Type de malware

RAT

Langage de programmation

VB.NET

Protocole C2

TCP (varsayilan port 1177)

Systèmes ciblés

Windows

Aussi connu sous (AKA)

Bladabindi, H-Worm, houdini

Détails techniques

TCP port 1177 (varsayilan), XOR tabanlı iletisim sifreleme, .NET Framework 2.0+, Mutex: {GUID}, Registry Run key persistence, Keylogger (GetAsyncKeyState), clipboard monitor, screenshot, remote shell, remote camera

Attribution / Acteur de la menace

Arap dilli siber suc topluluklari, en cok MENA (Orta Dogu ve Kuzey Afrika) bolgesindeki gruplar. Yasama savasi donemi Suriyeli gruplar tarafindan da kullanilmistir.

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (2 indicateurs)

IOC — NjRAT

# SHA256
80261544c5dc536f76775ab6e5c0aad91ba934a86a201a97c90ccbc4f097e7f0 

# MD5
f903725758e03a781a2422d8aa33536e

Type	Valeur	Note
sha256	80261544c5dc536f76775ab6e5c0aad91ba934a86a201a97c90ccbc4f097e7f0	Sample:NjRAT
md5	f903725758e03a781a2422d8aa33536e	Sample:NjRAT

NjRAT — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
system.io	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—
common.io	domain	—	TCP	active	—
system.io	domain	—	TCP	active	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.