Manuel Statik Analiz (LLM Okumali) — WarzoneRAT (AveMaria) | Tehdit: YUKSEK

Dosya Kimligi

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
Dosya AdiVvdsupbjet.exe (rastgele isimli)
Platform.NET (AES sifrelenmis C2)
Boyut363.008 byte
String Sayisi1.858

Sifreleme Kaniti

CreateDecryptor -- .NET AES sifresi
CreateEncryptor -- .NET AES sifresi
LegalKeySizesValue, set_KeySize, KeySizes -- AES anahtar konfigurasyon

WarzoneRAT Hakkinda

WarzoneRAT (AveMaria), 2018 yilindan bu yana aktif olan C++ tabanli bir RAT ailesidir. Mevcut aile MaaS (Malware-as-a-Service) olarak satilmaktadir. Yetenekleri: HVNC (Gizli Masaustu), Keylogger, Password Grabber, Uzaktan Shell, Kamera erisimi, UAC Bypass, Process Enjeksiyonu. C++ implant; .NET ise wrapper veya builder.

IOC

SHA25631e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
C2AES sifrelenmis (runtime decrypt)
Platform.NET AES

WarzoneRAT — Malware Profile

WarzoneRAT Ave Maria RAT. 2026 itibariyla aktif. Tarih prefixli dagitim. Config karması 45A06E. Uclu anti-debug.

Malware Type
RAT
Programming Language
C++
C2 Protocol
TCP
Target Systems
Windows
Also Known As (AKA)
Ave Maria

Technical Details

C++, AES-256 sifreleme, TCP, Hidden VNC, DVD kamera, Stealer, Privilege escalation, Anti-sandbox (CPUID kontrol), Bot iletisimi JSON tabanli

Attribution / Threat Actor

Daniel Meli (Malta) tarafindan yonetilen MaaS operasyonu. 2024'te FBI tarafindan tutuklanmis ve botnet altyapisi cokertilmistir.

Capabilities & Behavior

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOC List (1 indicators)

IOC — WarzoneRAT
# SHA256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
TypeValueNote
sha256 31e5881b79919c18f8444ac3300eb2a3550100754d869d19a9ccacaf874df75b
WarzoneRAT — Go to Full Profile →

C2 Servers (2 recorded servers for this family)

Address Type Port Protocol Status Country
185.216.36.143 ip 4500 TCP inactive BG
cloudflareprotected.xyz domain 5200 TCP inactive RU

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.

Tags
warzoneratavemarianetaesratsifreli