XWorm — invoice-1645080830.pdf (9).js [79ce22de]

XWorm | Niveau de menace: high | Type: RAT

Identifiants cryptographiques

SHA256	`79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6`
MD5	`1c9ca020eac91d8ec69d1bc277ca0507`
Type de fichier	js
Taille	23383.3 KB
Première observation	2026-04-30
Nom du fichier	invoice-1645080830.pdf (9).js
Étiquettes	js, xworm

Famille de malware: XWorm

XWorm, 2022'de ortaya çıkan çok işlevli RAT'tır.

Type	RAT
Langage de programmation	.NET C#
Plateforme cible	Windows
Protocole C2	TCP
Objectif	Uzaktan erişim, infostealer
Année de première observation	2022

Indicateurs de menace (IOC)

SHA256: 79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
MD5: 1c9ca020eac91d8ec69d1bc277ca0507

Guide de nettoyage du système

Déconnectez le système du réseau — débranchez l’ethernet, désactivez le Wi-Fi
Terminez les processus suspects depuis le Gestionnaire des tâches
Effectuez une analyse complète du système avec Malwarebytes ou Kaspersky
HKCU\Software\Microsoft\Windows\CurrentVersion\Run kayıtlarını kontrol edin
Examinez les tâches nouvellement créées dans le Planificateur de tâches
Changez tous vos mots de passe depuis un appareil sain
Gerekirse Windows'u yeniden yükleyin ve verilerinizi temiz bir yedeğe geri alın

Indices de règles YARA

rule XWorm_SHA256 {
    meta:
        description = "XWorm sample: 79ce22dee7148ab7"
        threat_level = "high"
        first_seen = "2026-04-30"
    condition:
        hash.sha256(0, filesize) == "79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6"
}

XWorm — Profil du malware

XWorm RAT .NET. Contract.exe is sozlesmesi. RecargarPanels Ispanyolca UI. panelActions plugin. Aggregate modül.

Type de malware

RAT

Langage de programmation

.NET C#

Protocole C2

TCP

Systèmes ciblés

Windows

Détails techniques

C# .NET, AES-128-CBC veya AES-256, TCP varsayilan port 7878, Anti-VM (GetSystemFirmwareTable), Anti-debug (FindWindow Olly/x64dbg), Webhook stealer, Clipper, HVNC, Remote Shell, Ransomware modulu

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (19 indicateurs)

IOC — XWorm

# SHA256
79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6

# MD5
1c9ca020eac91d8ec69d1bc277ca0507

# IP
194.233.74.111 

# IP
185.105.6.34 

# IP
5.75.176.228 

# IP
185.220.101.92 

# IP
91.92.241.73 

# IP
91.92.246.33 

# IP
185.165.169.77 

# DOMAIN
xwormpanel.xyz 

# DOMAIN
xworm-update-checker.com 

# MUTEX
XWorm_V5.2_MUTEX 

# MUTEX
Global{8d290ab1-xworm} 

# MUTEX
XWorm_Mutex_v5.6 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update 

# REGISTRY
HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm 

# FILEPATH
%APPDATA%XWormXWorm.exe 

# FILEPATH
%APPDATA%WindowsSystemXTask.exe 

# URL
https://xworm-updates.xyz/v5.2.exe

Type	Valeur	Note
sha256	79ce22dee7148ab75a24bf3aaa9812c269b5436a3be18e3dad1496d7130f47a6
md5	1c9ca020eac91d8ec69d1bc277ca0507
ip	194.233.74.111	C2:7878
ip	185.105.6.34	C2:1234
ip	5.75.176.228	C2:7877
ip	185.220.101.92	XWorm C2 Tor proxy
ip	91.92.241.73	XWorm aktif C2
ip	91.92.246.33	C2:7707
ip	185.165.169.77	C2:7707
domain	xwormpanel.xyz	XWorm C2 panel domain
domain	xworm-update-checker.com	XWorm fake update domain
mutex	XWorm_V5.2_MUTEX	XWorm v5.2 standart mutex
mutex	Global{8d290ab1-xworm}	XWorm GUID tabanli mutex
mutex	XWorm_Mutex_v5.6	XWorm v5.6 mutex
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunSystem Update	XWorm persistence key
registry	HKCUSoftwareMicrosoftWindowsCurrentVersionRunXWorm	XWorm persistence
filepath	%APPDATA%XWormXWorm.exe	XWorm persistence directory
filepath	%APPDATA%WindowsSystemXTask.exe	XWorm persistence dosyasi
url	https://xworm-updates.xyz/v5.2.exe	XWorm v5.2 dropper URL

XWorm — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
eIL.ru	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
exec.in	domain	—	TCP	active	—
github.com	domain	—	TCP	active	—
system.io	domain	—	TCP	inactive	—
system.io	domain	—	TCP	inactive	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.