| Hachage / Info | Valeur |
|---|---|
| SHA256 | b2a0f706a39d5e5522221fb403b7bbf2423a2c87014279407f566afa6a102758 |
| MD5 | 984edc4bfc8e5f13c7ce5e663a2e90eb |
| SHA1 | b1a27ae6fa8f46d5e61084c3231d698bf2984b2c |
| ImpHash | f34d5f2d4577ed6d9ceec516c1f5a744 |
| Fichier Adi | Loli.exe.bin |
| Type de fichier | exe |
| Taille | 726,016 bytes |
| Première observation | 2025-10-01 |
Tehdit Valeurlendirmesi
Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.
Capacités détectées
- Uzaktan Erisim
- Keylogging
- Ekran Goruntüsü
- Fichier Yonetimi
- Kabuk Erisimi
Étiquettes MalwareBazaar
Note d’analyse
Bu ornek QuasarRAT ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.
QuasarRAT — Profil du malware
QuasarRAT acik kaynak uzaktan erisim araci. v1.4.0 istemcisi Quasar.Client.Recovery ile Chrome/Firefox/Edge/Yandex/WinSCP/FileZilla kimlik bilgilerini kurtarir. PGma.System.MouseKeyHook ile fare+klavye izlemesi yapar. Protobuf-net ile sifreli C2 iletisimi saglar. schtasks ile kalicilik.
Détails techniques
C# .NET, TLS/SSL sifreleme, TCP varsayilan port 4782, Remote Desktop, Process Manager, File Browser, Password Recovery, Reverse Proxy (SOCKS5), Keylogger, Registry Editor
Capacités et comportement
Liste IOC (2 indicateurs)
# SHA256
b2a0f706a39d5e5522221fb403b7bbf2423a2c87014279407f566afa6a102758
# MD5
984edc4bfc8e5f13c7ce5e663a2e90eb
| Type | Valeur | Note |
|---|---|---|
| sha256 | b2a0f706a39d5e5522221fb403b7bbf2423a2c87014279407f566afa6a102758 | |
| md5 | 984edc4bfc8e5f13c7ce5e663a2e90eb |
Serveurs C2 (5 serveurs enregistrés pour cette famille)
| Adresse | Type | Port | Protocole | Statut | Pays |
|---|---|---|---|---|---|
| api.ipify.org | domain | 443 | HTTPS | active | — |
| ipwho.is | domain | 443 | HTTPS | active | — |
| hitclub.paris | domain | — | HTTP | active | — |
| 77.91.124.165 | ip | 4782 | TCP | inactive | — |
| 192.210.179.210 | ip | 4782 | TCP | inactive | US |
Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.