Derin Statik Analiz — DCRat | Tehdit: high

ファイル Kimliği

SHA2563c742975836a7071afbb7d23820029f89a48d99f79b85291658a710eb096f9b3
MD5213d5f40829abe4a0c6ee32ec1ebb1a8
SHA161dda991022dbdb4e66f11caa2e3fa91d8d27cab
ファイル名213d5f40829abe4a0c6ee32ec1ebb1a8.exe
サイズ846848 byte
種別/opt/ksentinel/samples/3c742975836a7071_213d5f40829abe4a0c6ee32ec: PE32 executable (GUI) Intel 80386
コンパイル日時不明
PackerUPX

C2 Sunucuları / Dropper Domainleri

AdresTipDurum
System.IODomainactive
System.NetDomainactive

Tespit Edilen IOC'lar

値Tip
System.IODomain
System.NetDomain

Yetenekler

  • —

Şifreleme: RijndaelManaged

Base64 Decode: 

B64:3ROMXmCl7lDwHEmDDaNsOEg21tyGtfTRhOF9zqQ => l8H6
B64:BAFEGEHEIEJELKMLNKOKQPUTWVXVYVZV =>  BD,
B64:MDiUIrfkb3RenMwFQkU+wB3EsCfqDFQQaehkK7P+J5j5iufpYOZSYj9oXPp => Rb?h\

Geliştirici İpuçları

Telegram: @2d2x2 @agxD @EJpkV @LALc

PE Analizi

PE 信頼度lik Taraması

file entropy:                    6.084187 (normal)
fpu anti-disassembly:            no
imagebase:                       normal
entrypoint:                      normal
DOS stub:                        normal
TLS directory:                   not found
timestamp:                       normal
section co

Import Tablosu (özet)

Imported functions
    Library
        Name:                            mscoree.dll
        Functions
            Function
                Hint:                            0
                Name:                            _CorExeMain

ファミリー Tespiti — String Kanıtı

String kanıtı bulunamadı (obfuscated).

DCRat — マルウェアプロファイル

DCRat Rusça RAT. sostener1.vbs VBScript dropper. PowerShell ExecutionPolicy Bypass. geutqmonpmjthuux.ru DGA C2.

マルウェアの種類
RAT
プログラミング言語
C#/.NET
C2プロトコル
HTTP
標的システム
Windows
別名 (AKA)
DarkCrystal

技術詳細

.NET C#, AES-128-CBC sifreleme, plugin mimarisi (DLLler), TCP varsayilan port 5552, SQLite lokal depolama, Anti-VM/Sandbox (Process check, Registry), Loader, Stealer, RAT modulleri ayri

機能と挙動

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOCリスト (5 件の指標)

IOC — DCRat
# 61dda991022dbdb4e66f11caa2e3fa91d8d27cab # SHA256 3c742975836a7071afbb7d23820029f89a48d99f79b85291658a710eb096f9b3 # MD5 213d5f40829abe4a0c6ee32ec1ebb1a8 # DOMAIN System.IO # DOMAIN System.Net
タイプ値メモ
61dda991022dbdb4e66f11caa2e3fa91d8d27cab
sha256 3c742975836a7071afbb7d23820029f89a48d99f79b85291658a710eb096f9b3
md5 213d5f40829abe4a0c6ee32ec1ebb1a8
domain System.IO
domain System.Net
DCRat — 完全プロファイルへ →

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス タイプ ポート プロトコル ステータス 国
microsoft.com domain — TCP active —
digicert.com domain — TCP active —
crypto.io domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ
dcratstatik-analizhighc2iocpe-analiz