AsyncRAT — 45a576381409b82fb40689b7ddfa0b7ab3fe774e81d4a2da9a98435a2f2207a5.exe [45a57638]

Manuel Statik Analiz — AsyncRAT | Tehdit: 高 | CVSS: 7.5

ファイル Kimliği

SHA256	`45a576381409b82fb40689b7ddfa0b7ab3fe774e81d4a2da9a98435a2f2207a5`
MD5	`f509347c30d44b7056dff8021bad954d`
ファイル名	45a576381409b82fb40689b7ddfa0b7ab3fe774e81d4a2da9a98435a2f2207a5.exe
サイズ	33,726,096 byte (32935 KB)
種別	PE32+ executable for MS Windows 6.00 (GUI), x86-64, 7 sections
String Sayısı	56,560

PE Bölümleri

Bölüm	V.Size	Entropi
`.text`	181,824	6.47
`.rdata`	81,288	5.75
`.data`	19,184	1.82
`.pdata`	9,564	5.47
`.fptable`	256	0.0
`.rsrc`	271,932	1.6
`.reloc`	1,896	5.25

Import Tablosu

USER32.dll
CreateWindowExW
ShutdownBlockReasonCreate
MsgWaitForMultipleObjects
ShowWindow
DestroyWindow
COMCTL32.dll
KERNEL32.dll
GetACP
IsValidCodePage
GetStringTypeW
GetFileAttributesExW
SetEnvironmentVariableW
ADVAPI32.dll
OpenProcessToken
GetTokenInformation
ConvertStringSecurityDescriptorToSecurityDescriptorW
ConvertSidToStringSidW
GDI32.dll
SelectObject

IOC

SHA256	`45a576381409b82fb40689b7ddfa0b7ab3fe774e81d4a2da9a98435a2f2207a5`
MD5	`f509347c30d44b7056dff8021bad954d`
IP Adresleri	`6.0.0.0`, `3.4.1.7`
Domain	`crypto.io`, `selftest.io`, `microsoft.com`
Mutex	`Tcl_MutexLock`, `end-of-block`, `Tcl_MutexUnlock`
C2 Aday	`crypto.io, microsoft.com`

AsyncRAT — マルウェアプロファイル

AsyncRAT, 2019'da acik kaynak olarak yayimlanan C# tabanli RAT ailesidir. Ekran yakalama, keylogger, dosya islemleri, HVNC ve plugin sistemine sahiptir. C2 AES-128-CBC ile sifrelenir, TCP uzerinden calisir. JS/PDF yemi ile dagitilir.

マルウェアの種類

RAT

プログラミング言語

.NET C#

C2プロトコル

TCP/SSL

標的システム

Windows

別名 (AKA)

AsyncClient

技術詳細

C# .NET, AES-128-CBC sifreleme, TCP port 6606/4449 (varsayilan), Mutex kontrol, Runtime assembly loading, Anti-analysis (VM check, Process listesi), HVNC, Keylogger, Stealer, Botnet modulu

アトリビューション / 脅威アクター

Acik kaynak - orjinal gelistirici GitHub'da yayinladi; surekli siber suclu toplulugu tarafindan kullanilmaktadir. APT operasyonlari da dahil olmak uzere cok sayida farkli tehdit aktoru kullanmaktadir.

機能と挙動

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

IOCリスト (10 件の指標)

IOC — AsyncRAT

# SHA256
45a576381409b82fb40689b7ddfa0b7ab3fe774e81d4a2da9a98435a2f2207a5

# MD5
f509347c30d44b7056dff8021bad954d

# IP
6.0.0.0 

# IP
3.4.1.7 

# DOMAIN
crypto.io 

# DOMAIN
selftest.io 

# DOMAIN
microsoft.com 

# MUTEX
Tcl_MutexLock 

# MUTEX
end-of-block 

# MUTEX
Tcl_MutexUnlock

タイプ	値	メモ
sha256	45a576381409b82fb40689b7ddfa0b7ab3fe774e81d4a2da9a98435a2f2207a5
md5	f509347c30d44b7056dff8021bad954d
ip	6.0.0.0	C2 aday
ip	3.4.1.7	C2 aday
domain	crypto.io	C2 domain
domain	selftest.io	C2 domain
domain	microsoft.com	C2 domain
mutex	Tcl_MutexLock	Mutex
mutex	end-of-block	Mutex
mutex	Tcl_MutexUnlock	Mutex

AsyncRAT — 完全プロファイルへ →

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

AsyncRATmalwarestatik-analizIOC