Manuel Statik Analiz — Brute Ratel C4 | Tehdit: 重大
ファイル Kimliği
| SHA256 | c6433d9aafb4400c696320b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| ファイル名 | steam_monitor_02F90000.dll (Steam izleyici DLL taklidi!) |
| サイズ | 696.320 byte (680KB) |
| String Sayisi | 1.569 |
steam_monitor_02F90000.dll: Steam Süreç Enjeksiyonu
DLL ENJEKSIYON: Steam sürecine gizli enjeksiyon!
steam_monitor_02F90000.dll -- "steam_monitor" = Steam (Valve oyun platformu) izleme DLL'i taklidi -- "02F90000" = bellek adresi (DLL yükleme taban adresi: 0x02F90000) -- Teknik: BruteRatel DLL steam.exe sürecine enjekte edilir -- Adres sonek: hangi bellek konumuna enjekte edildiği kayıt altında -- Steam: meşru süreç → güvenlik yazılımı genellikle izlemez! -- Brute Ratel C4: Cobalt Strike rakibi, ring-3 implant
TJC20MG Belirteci
TJC20MG -- 7 karakter alfanumerik kısa string -- BruteRatel C4: session/agent kimlik belirteci -- Operatör, bu ID ile hangi agent'ın hangi sistemde olduğunu takip eder -- Değişken: her campaign/build için farklı olabilir
RegCreateKeyExW: Registry Kalıcılığı
RegCreateKeyExW -- Unicode registry anahtar oluşturma RegCloseKey -- anahtar kapatma -- BruteRatel: registry Run key'e kendini ekleyerek kalıcı hale geliyor -- HKCU\Software\Microsoft\Windows\CurrentVersion\Run (olası)
IOC
| SHA256 | c6433d9aafb4400c696320b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |
|---|---|
| DLL | steam_monitor_02F90000.dll |
| Belirteç | TJC20MG |
BruteRatel — マルウェアプロファイル
Brute Ratel C4 red team C2. steam_monitor DLL injection. TJC20MG session token. Registry persistence.
マルウェアの種類
C2Framework
プログラミング言語
C
C2プロトコル
HTTPS
標的システム
Windows
別名 (AKA)
BRC4
機能と挙動
Post-Exploitation
Lateral Movement
Mimikatz Entegrasyonu
Process Injection
Payload Staging
Domain Fronting
Covert Channel C2
Beacon İletişimi
IOCリスト (1 件の指標)
IOC — BruteRatel
# SHA256
c6433d9aafb4400c696320b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0
| タイプ | 値 | メモ |
|---|---|---|
| sha256 | c6433d9aafb4400c696320b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0 |