Høj aktivitet fra XWORM

Der er en høj koncentration af malware som peger på IP adressen 147.185.221.18 (AS400519 PLAYIT-GG, US). Det omfatter bl.a. Xworm og njRAT. Det er særligt Xworm som er aktiv i denne sammenhæng.

SIE Europe pDNS afslører en signifikant volume af translationer til C&Cs og download domæner på denne server. Det er ikke et godt tegn. Se oversigt herunder med trafik og tidsstempler fra SIE Europe:

Spredning sker bl.a. via pakkede .LNK (windows genveje) som er vedhæftet i spammails.

Det samlede omfang af aktivitet på 147.185.221.18 kan ses i diagrammet herunder som også illustrerer den geografiske spredning fra de enkelte malware komponenter og sammenhænge:

En komplet liste over IoCs, som med fordel kan blokeres, er samlet herunder. Listen består af domæner med lav indikator detektion i de fleste sikkerhedsløsninger (saniteret af sikkerhedsmæssige hensyn):

modified-analytical.gl.at.ply[.]gg
youth-compromise.gl.at.ply[.]gg
chicago-cloud.gl.at.ply[.]gg
artists-signing.gl.at.ply[.]gg
survey-all.gl.at.ply[.]gg
safe-sections.gl.at.ply[.]gg
ad-railway.gl.at.ply[.]gg
industry-ent.gl.at.ply[.]gg
economic-bringing.gl.at.ply[.]gg
sure-glen.gl.at.ply[.]gg
oh-format.gl.at.ply[.]gg
took-navigator.gl.at.ply[.]gg
complete-collections.gl.at.ply[.]gg
limited-screens.gl.at.ply[.]gg
mortgage-musicians.gl.at.ply[.]gg
some-outcome.gl.at.ply[.]gg
wedding-marie.gl.at.ply[.]gg
publisher-aid.gl.at.ply[.]gg
register-heat.gl.at.ply[.]gg
navigation-zones.gl.at.ply[.]gg
wood-himself.gl.at.ply[.]gg
teen-imports.gl.at.ply[.]gg
spain-justin.gl.at.ply[.]gg
sponsored-ate.gl.at.ply[.]gg
key-indices.gl.at.ply[.]gg
individual-antibody.gl.at.ply[.]gg
little-paraguay.gl.at.ply[.]gg
port-bind.gl.at.ply[.]gg
notes-argentina.gl.at.ply[.]gg
another-contamination.gl.at.ply[.]gg
condition-mounted.gl.at.ply[.]gg
apply-memorabilia.gl.at.ply[.]gg
answer-snap.gl.at.ply[.]gg
light-garcia.gl.at.ply[.]gg
thing-korean.gl.at.ply[.]gg
subjects-feof.gl.at.ply[.]gg
18.ip.gl.joinmc.link.
vacation-ng.gl.at.ply[.]gg
topics-seas.gl.at.ply[.]gg
auto-benjamin.gl.at.ply[.]gg
states-newcastle.gl.at.ply[.]gg
paper-lightbox.gl.at.ply[.]gg
september-tree.gl.at.ply[.]gg
included-efforts.gl.at.ply[.]gg
air-registration.gl.at.ply[.]gg
several-isle.gl.at.ply[.]gg
water-relief.gl.at.ply[.]gg
provided-issue.gl.at.ply[.]gg
pretty-proprietary.gl.at.ply[.]gg
might-shore.gl.at.ply[.]gg
management-plug.gl.at.ply[.]gg
fat-different.gl.at.ply[.]gg
major-dare.gl.at.ply[.]gg
rtowntesting.playit[.]gg
tue-smilies.gl.at.ply[.]gg
bit-bread.gl.at.ply[.]gg
linux-successful.gl.at.ply[.]gg
functions-stud.gl.at.ply[.]gg
brands-coaches.gl.at.ply[.]gg
be-validation.gl.at.ply[.]gg
beauty-preventing.gl.at.ply[.]gg
took-true.gl.at.ply[.]gg
title-file.gl.at.ply[.]gg
still-bracelets.gl.at.ply[.]gg
sector-customers.gl.at.ply[.]gg
reports-determined.gl.at.ply[.]gg
image-domestic.gl.at.ply[.]gg
az-meanwhile.gl.at.ply[.]gg
groups-construction.gl.at.ply[.]gg
getting-tariff.gl.at.ply[.]gg
enjoy-logged.gl.at.ply[.]gg
each-victoria.gl.at.ply[.]gg
continue-nail.gl.at.ply[.]gg
carolina-berry.gl.at.ply[.]gg
an-numbers.gl.at.ply[.]gg
activities-puzzle.gl.at.ply[.]gg
detailed-forest.gl.at.ply[.]gg
relations-cure.gl.at.ply[.]gg
purchase-globe.gl.at.ply[.]gg
disease-webcast.gl.at.ply[.]gg
executive-blvd.gl.at.ply[.]gg
protection-stages.gl.at.ply[.]gg
policy-ride.gl.at.ply[.]gg
plans-spatial.gl.at.ply[.]gg
people-primarily.gl.at.ply[.]gg
logo-vanilla.gl.at.ply[.]gg
login-sterling.gl.at.ply[.]gg
given-obvious.gl.at.ply[.]gg
features-daddy.gl.at.ply[.]gg
developed-newport.gl.at.ply[.]gg
care-application.gl.at.ply[.]gg
buy-initiative.gl.at.ply[.]gg
brands-securely.gl.at.ply[.]gg
authors-nov.gl.at.ply[.]gg
address-si.gl.at.ply[.]gg
places-mills.gl.at.ply[.]gg
across-essential.gl.at.ply[.]gg
zip-finding.gl.at.ply[.]gg
transportation-yea.gl.at.ply[.]gg
times-meters.gl.at.ply[.]gg
spain-leave.gl.at.ply[.]gg
on-toolbox.gl.at.ply[.]gg
ok-killing.gl.at.ply[.]gg
mar-fact.gl.at.ply[.]gg
low-elizabeth.gl.at.ply[.]gg
local-cricket.gl.at.ply[.]gg
language-obviously.gl.at.ply[.]gg
journal-read.gl.at.ply[.]gg
institute-tagged.gl.at.ply[.]gg
file-pursue.gl.at.ply[.]gg
result-nearly.gl.at.ply[.]gg
all-few.gl.at.ply[.]gg
language-olive.gl.at.ply[.]gg
error-fellow.gl.at.ply[.]gg
equipment-nasdaq.gl.at.ply[.]gg
division-ot.gl.at.ply[.]gg
case-marks.gl.at.ply[.]gg
associated-satisfy.gl.at.ply[.]gg
edition-mechanical.gl.at.ply[.]gg
voice-run.gl.at.ply[.]gg
asian-cool.gl.at.ply[.]gg
january-enabling.gl.at.ply[.]gg
today-minnesota.gl.at.ply[.]gg
ie-virtual.gl.at.ply[.]gg
seen-undertake.gl.at.ply[.]gg
drug-commonly.gl.at.ply[.]gg
canada-pope.gl.at.ply[.]gg
according-north.gl.at.ply[.]gg
network-accused.gl.at.ply[.]gg
wood-cg.gl.at.ply[.]gg
value-purchased.gl.at.ply[.]gg
event.tomasalias.cf.
updated-votes.gl.at.ply[.]gg
care-naval.gl.at.ply[.]gg
fire-bee.gl.at.ply[.]gg
side-image.gl.at.ply[.]gg
people-idle.gl.at.ply[.]gg
kingdom-haiti.gl.at.ply[.]gg
member-german.gl.at.ply[.]gg
general-tribunal.gl.at.ply[.]gg
ebay-detail.gl.at.ply[.]gg
anti-pierce.gl.at.ply[.]gg
free-convert.gl.at.ply[.]gg
animal-borders.gl.at.ply[.]gg
class-certificates.gl.at.ply[.]gg
winter-continuously.gl.at.ply[.]gg
well-favors.gl.at.ply[.]gg
external-acre.gl.at.ply[.]gg
related-alternative.gl.at.ply[.]gg
park-spas.gl.at.ply[.]gg
code-aug.gl.at.ply[.]gg
king-whole.gl.at.ply[.]gg
feb-robinson.gl.at.ply[.]gg
general-remember.gl.at.ply[.]gg
feb-managing.gl.at.ply[.]gg
estate-yugoslavia.gl.at.ply[.]gg
electric-mauritius.gl.at.ply[.]gg
based-ladder.gl.at.ply[.]gg
very-listening.gl.at.ply[.]gg
internet-guestbook.gl.at.ply[.]gg
find-proposals.gl.at.ply[.]gg
right-chemical.gl.at.ply[.]gg
life-architecture.gl.at.ply[.]gg
been-advertisements.gl.at.ply[.]gg
options-az.gl.at.ply[.]gg
mountain-observer.gl.at.ply[.]gg
death-pole.gl.at.ply[.]gg
both-carried.gl.at.ply[.]gg
reserved-hanging.gl.at.ply[.]gg
useful-attachments.gl.at.ply[.]gg
specified-luggage.gl.at.ply[.]gg
material-ranked.gl.at.ply[.]gg
built-rejected.gl.at.ply[.]gg
com-night.gl.at.ply[.]gg
browse-place.gl.at.ply[.]gg
if-poet.gl.at.ply[.]gg
custom-basically.gl.at.ply[.]gg
gold-vertex.gl.at.ply[.]gg
friday-ebook.gl.at.ply[.]gg
university-graduate.gl.at.ply[.]gg
sony-sig.gl.at.ply[.]gg
avaloriavtt.playit[.]gg
break-meal.gl.at.ply[.]gg
re-uploaded.gl.at.ply[.]gg
via-citizen.gl.at.ply[.]gg
meet-photos.gl.at.ply[.]gg
entire-oven.gl.at.ply[.]gg
every-thing.gl.at.ply[.]gg
bay-french.gl.at.ply[.]gg
using-mono.gl.at.ply[.]gg
mm-citybuild.playit[.]gg
home-rio.gl.at.ply[.]gg
homes-concepts.gl.at.ply[.]gg
le-offshore.gl.at.ply[.]gg
mapa.empalmecraft.com.
background-relax.gl.at.ply[.]gg
nice-verbal.gl.at.ply[.]gg
looking-florence.gl.at.ply[.]gg
capacity-bet.gl.at.ply[.]gg
_https.18.ip.gl.ply[.]gg
_4653._https.18.ip.gl.ply[.]gg
dec-autos.gl.at.ply[.]gg
never-some.gl.at.ply[.]gg
stationary-server.playit[.]gg
she-outlined.gl.at.ply[.]gg
introduction-china.gl.at.ply[.]gg
next-mel.gl.at.ply[.]gg
man-bobby.gl.at.ply[.]gg
needed-sucking.gl.at.ply[.]gg
le-equals-minecraft.playit[.]gg
block-cw.gl.at.ply[.]gg
guides-teaches.gl.at.ply[.]gg
team-bizarre.gl.at.ply[.]gg
thing-trips.gl.at.ply[.]gg
input-flexibility.gl.at.ply[.]gg
d-remedy.gl.at.ply[.]gg
complete-lenders.gl.at.ply[.]gg
considered-frost.gl.at.ply[.]gg
musadost.playit[.]gg
forums-medications.gl.at.ply[.]gg
justserver.playit[.]gg
yes-charging.gl.at.ply[.]gg
blue-refurbished.gl.at.ply[.]gg
components-acknowledge.gl.at.ply[.]gg
animal-reflect.gl.at.ply[.]gg
word-curtis.gl.at.ply[.]gg
indian-medical.gl.at.ply[.]gg
advertise-jacksonville.gl.at.ply[.]gg
way-dale.gl.at.ply[.]gg
enter-planets.gl.at.ply[.]gg
ground-gsm.gl.at.ply[.]gg
following-bids.gl.at.ply[.]gg
message-charm.gl.at.ply[.]gg
subjects-shapes.gl.at.ply[.]gg
awards-strikes.gl.at.ply[.]gg
funds-millennium.gl.at.ply[.]gg
england-procurement.gl.at.ply[.]gg
guide-things.gl.at.ply[.]gg
gameserver.starfn.xyz.
mother-spec.gl.at.ply[.]gg
she-experience.gl.at.ply[.]gg
council-previous.gl.at.ply[.]gg
service-trim.gl.at.ply[.]gg
sale-phentermine.gl.at.ply[.]gg
required-another.gl.at.ply[.]gg
late-socks.gl.at.ply[.]gg
there-blame.gl.at.ply[.]gg
search-johnson.gl.at.ply[.]gg
books-thehun.gl.at.ply[.]gg
minimum-listed.gl.at.ply[.]gg
previous-fact.gl.at.ply[.]gg
downloads-array.gl.at.ply[.]gg
match-honor.gl.at.ply[.]gg
shopping-deployment.gl.at.ply[.]gg
associates-citysearch.gl.at.ply[.]gg
france-manual.gl.at.ply[.]gg
various-episode.gl.at.ply[.]gg
rental-version.gl.at.ply[.]gg
filter-mods.gl.at.ply[.]gg
available-eclipse.gl.at.ply[.]gg
et-organization.gl.at.ply[.]gg
schedule-owen.gl.at.ply[.]gg
outside-favorites.gl.at.ply[.]gg
while-actress.gl.at.ply[.]gg
gay-movement.gl.at.ply[.]gg
sample-suits.gl.at.ply[.]gg
with-epa.gl.at.ply[.]gg
qjosworld.net.
google-priced.gl.at.ply[.]gg
press-face.gl.at.ply[.]gg
financial-they.gl.at.ply[.]gg
cheap-rule.gl.at.ply[.]gg
church-happen.gl.at.ply[.]gg
police-cancellation.gl.at.ply[.]gg
environment-admission.gl.at.ply[.]gg
palworld.alphabetsoup.playit[.]gg
called-phi.gl.at.ply[.]gg
services-frequency.gl.at.ply[.]gg
artists-romania.gl.at.ply[.]gg
health-racks.gl.at.ply[.]gg
rest-separately.gl.at.ply[.]gg
she-mp.gl.at.ply[.]gg
asked-retain.gl.at.ply[.]gg
book-chargers.gl.at.ply[.]gg
name-tolerance.gl.at.ply[.]gg
guest-usually.gl.at.ply[.]gg
method-allowing.gl.at.ply[.]gg
bar-ordering.gl.at.ply[.]gg
rates-lobby.gl.at.ply[.]gg
hit-arbitrary.gl.at.ply[.]gg
ed-penalty.gl.at.ply[.]gg
percent-usc.gl.at.ply[.]gg
apr-undertaken.gl.at.ply[.]gg
baby-wonderful.gl.at.ply[.]gg
rental-collaboration.gl.at.ply[.]gg
reply-units.gl.at.ply[.]gg
return-corp.gl.at.ply[.]gg
locations-contest.gl.at.ply[.]gg
horse-amendment.gl.at.ply[.]gg
on-cement.gl.at.ply[.]gg
this-ti.gl.at.ply[.]gg
respect-detection.gl.at.ply[.]gg
laytworld.ddns[.]net
nov-further.gl.at.ply[.]gg
potential-pos.gl.at.ply[.]gg
repair-sperm.gl.at.ply[.]gg
death-herb.gl.at.ply[.]gg
resolution-chick.gl.at.ply[.]gg
heart-microphone.gl.at.ply[.]gg
s-paths.gl.at.ply[.]gg
cheap-innovation.gl.at.ply[.]gg
did-johnston.gl.at.ply[.]gg
prior-brothers.gl.at.ply[.]gg
at-moderate.gl.at.ply[.]gg
capacity-hard.gl.at.ply[.]gg
stay-tr.gl.at.ply[.]gg
bill-joseph.gl.at.ply[.]gg
night-amended.gl.at.ply[.]gg
during-impact.gl.at.ply[.]gg
edition-u.gl.at.ply[.]gg
higher-lined.gl.at.ply[.]gg
string-cincinnati.gl.at.ply[.]gg
names-wild.gl.at.ply[.]gg
told-local.gl.at.ply[.]gg
source-pour.gl.at.ply[.]gg
modern-application.gl.at.ply[.]gg
hardware-enlarge.gl.at.ply[.]gg
type-fault.gl.at.ply[.]gg
tickets-burton.gl.at.ply[.]gg
november-reviews.gl.at.ply[.]gg
job-peers.gl.at.ply[.]gg
works-festivals.gl.at.ply[.]gg
building-tel.gl.at.ply[.]gg
downloads-impaired.gl.at.ply[.]gg
title-founded.gl.at.ply[.]gg
equipment-friend.gl.at.ply[.]gg
relations-even.gl.at.ply[.]gg
provide-yea.gl.at.ply[.]gg
lesbian-most.gl.at.ply[.]gg
mon-accident.gl.at.ply[.]gg
well-attorneys.gl.at.ply[.]gg
o-finite.gl.at.ply[.]gg
garden-season.gl.at.ply[.]gg
valid-slight.gl.at.ply[.]gg
one-lane.gl.at.ply[.]gg
feel-quantum.gl.at.ply[.]gg
fax-elder.gl.at.ply[.]gg
average-athletic.gl.at.ply[.]gg
engineering-lightning.gl.at.ply[.]gg
large-medicare.gl.at.ply[.]gg
deep-hold.gl.at.ply[.]gg
stop-proudly.gl.at.ply[.]gg
de-care.gl.at.ply[.]gg
expected-outline.gl.at.ply[.]gg
come-tf.gl.at.ply[.]gg
heart-attend.gl.at.ply[.]gg
detailed-pharmacology.gl.at.ply[.]gg
tree-beginning.gl.at.ply[.]gg
being-expressed.gl.at.ply[.]gg
off-satisfactory.gl.at.ply[.]gg
south-coat.gl.at.ply[.]gg
categories-mastercard.gl.at.ply[.]gg
him-weapon.gl.at.ply[.]gg
properties-environmental.gl.at.ply[.]gg
palworld.surgals.playit[.]gg
dirtworld.playit[.]gg
annual-honolulu.gl.at.ply[.]gg
countries-broader.gl.at.ply[.]gg
url-study.gl.at.ply[.]gg
purposes-font.gl.at.ply[.]gg
lot-inexpensive.gl.at.ply[.]gg
corporate-jam.gl.at.ply[.]gg
throughout-summary.gl.at.ply[.]gg
where-soil.gl.at.ply[.]gg
members-sunshine.gl.at.ply[.]gg
photo-bin.gl.at.ply[.]gg
allows-reduces.gl.at.ply[.]gg
www.18.ip.gl.ply[.]gg
river-seeds.gl.at.ply[.]gg
likely-according.gl.at.ply[.]gg
ground-travelling.gl.at.ply[.]gg
rates-thru.gl.at.ply[.]gg

En teknisk analyse af Xworm kan findes her:
https://www.kruse.industries/l/analyse-af-xworm-aktivitet-i-danmark/