Manuel Statik Analiz (LLM Okumali) — DCRat (Dark Crystal RAT) | Tehdit: KRITIK

파일 Kimligi

SHA2567b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
Orijinal AdClient.exe
Dil.NET Framework 4.0
Versiyon1.0.7.0

Gelistirici Imzasi

Kritik String Tespiti: Binary icerisinde gelistiricinin takim adi olan DcRatByqwqdanchun cleartext olarak bulunmaktadir. Bu, DCRat ailesi icin kesin teyit saglar. 
DcRatByqwqdanchun    <-- Gelistirici imzasi (cleartext)
MutexControl         <-- Mutex adi
$29840822-5B84-11D0-BD3B-00A0C911CE86   <-- GUID

DCRat Hakkinda

DCRat (Dark Crystal RAT), qwqdanchun takma adli bir gelistirici tarafindan 2019 yilinda ortaya cikan ve Russian RuTOR forumunda dusuk maliyetle satilan bir .NET RATdir. Rusya kokenli underground gelistirme surecinin nadir bir ornegi olan DCRat, moduler mimarisiyle dikkat ceker.

DCRat Yetenekleri

ModulYetenek
Temel RATUzak kabuk, dosya yonetimi, surec yonetimi
KeyloggerTus kaydi ve ekran goruntusu
StealerTarayici sifreleri, Discord token, Telegram
ClipperKripto cuzdan adresi degistirme
RansomwareSecilebilir modul (nadiren kullanilir)
HVNCGizli uzak masaustu

MB Etiketi Yanilticiligi

Bu ornek MalwareBazaar tarafindan AsyncRAT olarak etiketlenmistir. Ancak binary icindeki DcRatByqwqdanchun dizisi, bu orneklerin DCRat olduğunu kesin sekilde ortaya koymaktadir. DCRat, AsyncRAT kod tabanini fork alarak gelistirildiginden otomatik analiz sistemleri zaman zaman yanlis etiketleyebilir.

IOC

SHA2567b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
Gelistiriciqwqdanchun
MutexMutexControl
Versiyon1.0.7.0
GUID$29840822-5B84-11D0-BD3B-00A0C911CE86
C2Sifrelenmis TCP (dinamik analiz gerekli)

DCRat — 악성코드 프로필

DCRat Rusça RAT. sostener1.vbs VBScript dropper. PowerShell ExecutionPolicy Bypass. geutqmonpmjthuux.ru DGA C2.

악성코드 유형
RAT
프로그래밍 언어
C#/.NET
C2 프로토콜
HTTP
대상 시스템
Windows
다른 이름 (AKA)
DarkCrystal

기술 세부 정보

.NET C#, AES-128-CBC sifreleme, plugin mimarisi (DLLler), TCP varsayilan port 5552, SQLite lokal depolama, Anti-VM/Sandbox (Process check, Registry), Loader, Stealer, RAT modulleri ayri

기능 및 동작

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOC 목록 (1 개 지표)

IOC — DCRat
# SHA256 7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
유형값메모
sha256 7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
DCRat — 전체 프로필 보기 →

C2 서버 (이 패밀리에 대해 8개의 서버 기록)

주소 유형 포트 프로토콜 상태 국가
microsoft.com domain &mdash; TCP active &mdash;
digicert.com domain &mdash; TCP active &mdash;
crypto.io domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;

C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.

태그
dcratdark-crystal-ratqwqdanchunmutexcontroldotnetratgelistirici-imzasi