Manuel Statik Analiz — DCRat (DarkCrystal) | Tehdit: YUKSEK
ファイル Kimliği
| SHA256 | 71c79c58dc14cf56103153b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |
|---|---|
| ファイル名 | sostener1.vbs |
| サイズ | 1.031.536 byte (1MB VBScript) |
| String Sayisi | 777 |
İspanyolca VBScript Dropper
sostener1.vbs -- "sostener" = İspanyolca "tutmak/sürdürmek/desteklemek" -- ".vbs" = Windows Script Host (WSH) VBScript -- "1" = birden fazla dropper dosyası (sostener1, sostener2...) -- LATAM (Latin Amerika) bölgesini hedef alıyor -- VBScript → PE payload drop eder ve çalıştırır
DGA Benzeri C2: geutqmonpmjthuux.Ru
C2 Tespit: 15 karakterli rastgele domain + .Ru TLD!
geutqmonpmjthuux.Ru -- "geutqmonpmjthuux" = 16 karakter rastgele harf (DGA benzeri) -- .Ru = Rusya TLD (DCRat'ın Rusya kaynaklı olduğunu destekliyor) -- DGA pattern: g-e-u-t-q-m-o-n-p-m-j-t-h-u-u-x (sözlük dışı) -- Rastgele görünüm = takibi zorlaştırma amacıyla -- DCRat genellikle .ru TLD üzerinde sabit C2 kullanır (DGA değil ama görünüşte öyle)
DCRat Hakkında
DCRat (DarkCrystal RAT), 2019'da Rus yeraltı forumlarında satışa çıkan modüler bir RAT'tır. Plugin sistemiyle keylogger, webcam erişimi, credential hırsızlığı, DDoS gibi özellikler eklenebilir. 2022-2023'te düşük fiyatıyla (yaklaşık 5$) popüler hale geldi. VBScript droppers + PowerShell stage chain kullanır. "sostener" İspanyolcası LATAM hedeflemeye işaret ediyor.
IOC
| SHA256 | 71c79c58dc14cf56103153b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |
|---|---|
| C2 | geutqmonpmjthuux.ru |
| Dropper | sostener1.vbs (İspanyolca LATAM lure) |
DCRat2 — マルウェアプロファイル
DCRat DarkCrystal RAT 2019 Rus underground. Plugin tabanlı modüler. VBScript dropper. .Ru TLD C2. sostener LATAM hedefleme.
マルウェアの種類
RAT
プログラミング言語
C#/.NET
C2プロトコル
TCP/HTTP
標的システム
Küresel
機能と挙動
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOCリスト (1 件の指標)
IOC — DCRat2
# DOMAIN
geutqmonpmjthuux.ru
| タイプ | 値 | メモ |
|---|---|---|
| domain | geutqmonpmjthuux.ru |
C2サーバー (このファミリーで1台のサーバーを記録)
| アドレス | タイプ | ポート | プロトコル | ステータス | 国 |
|---|---|---|---|---|---|
| geutqmonpmjthuux.ru | domain | 443 | HTTP | inactive | — |
C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。