Derin Statik Analiz — DCRat | Tehdit: high

파일 Kimliği

SHA2563c742975836a7071afbb7d23820029f89a48d99f79b85291658a710eb096f9b3
MD5213d5f40829abe4a0c6ee32ec1ebb1a8
SHA161dda991022dbdb4e66f11caa2e3fa91d8d27cab
파일 이름213d5f40829abe4a0c6ee32ec1ebb1a8.exe
크기846848 byte
유형/opt/ksentinel/samples/3c742975836a7071_213d5f40829abe4a0c6ee32ec: PE32 executable (GUI) Intel 80386
컴파일 날짜알 수 없음
PackerUPX

C2 Sunucuları / Dropper Domainleri

AdresTipDurum
System.IODomainactive
System.NetDomainactive

Tespit Edilen IOC'lar

값Tip
System.IODomain
System.NetDomain

Yetenekler

  • —

Şifreleme: RijndaelManaged

Base64 Decode: 

B64:3ROMXmCl7lDwHEmDDaNsOEg21tyGtfTRhOF9zqQ => l8H6
B64:BAFEGEHEIEJELKMLNKOKQPUTWVXVYVZV =>  BD,
B64:MDiUIrfkb3RenMwFQkU+wB3EsCfqDFQQaehkK7P+J5j5iufpYOZSYj9oXPp => Rb?h\

Geliştirici İpuçları

Telegram: @2d2x2 @agxD @EJpkV @LALc

PE Analizi

PE 신뢰도lik Taraması

file entropy:                    6.084187 (normal)
fpu anti-disassembly:            no
imagebase:                       normal
entrypoint:                      normal
DOS stub:                        normal
TLS directory:                   not found
timestamp:                       normal
section co

Import Tablosu (özet)

Imported functions
    Library
        Name:                            mscoree.dll
        Functions
            Function
                Hint:                            0
                Name:                            _CorExeMain

패밀리 Tespiti — String Kanıtı

String kanıtı bulunamadı (obfuscated).

DCRat — 악성코드 프로필

DCRat Rusça RAT. sostener1.vbs VBScript dropper. PowerShell ExecutionPolicy Bypass. geutqmonpmjthuux.ru DGA C2.

악성코드 유형
RAT
프로그래밍 언어
C#/.NET
C2 프로토콜
HTTP
대상 시스템
Windows
다른 이름 (AKA)
DarkCrystal

기술 세부 정보

.NET C#, AES-128-CBC sifreleme, plugin mimarisi (DLLler), TCP varsayilan port 5552, SQLite lokal depolama, Anti-VM/Sandbox (Process check, Registry), Loader, Stealer, RAT modulleri ayri

기능 및 동작

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOC 목록 (5 개 지표)

IOC — DCRat
# 61dda991022dbdb4e66f11caa2e3fa91d8d27cab # SHA256 3c742975836a7071afbb7d23820029f89a48d99f79b85291658a710eb096f9b3 # MD5 213d5f40829abe4a0c6ee32ec1ebb1a8 # DOMAIN System.IO # DOMAIN System.Net
유형값메모
61dda991022dbdb4e66f11caa2e3fa91d8d27cab
sha256 3c742975836a7071afbb7d23820029f89a48d99f79b85291658a710eb096f9b3
md5 213d5f40829abe4a0c6ee32ec1ebb1a8
domain System.IO
domain System.Net
DCRat — 전체 프로필 보기 →

C2 서버 (이 패밀리에 대해 8개의 서버 기록)

주소 유형 포트 프로토콜 상태 국가
microsoft.com domain — TCP active —
digicert.com domain — TCP active —
crypto.io domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —

C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.

태그
dcratstatik-analizhighc2iocpe-analiz