Derin Statik Analiz — DCRat | Tehdit: high
파일 Kimligi
| SHA256 | 59ce29a8e44e2065bd3defb6c51fbab502cd39ab69c530244caabfc293422b5b |
|---|---|
| MD5 | b612347cc44edb21170cd00bbfff03fa |
| SHA1 | 6a87adf7322f7a7a0a0f4fa2203f10b3e36ca877 |
| 크기 | 425350 byte |
| Tur | /opt/ksentinel/samples/3c742975836a7071afbb7d23820029f89a48d99f79b85291658a710eb |
| Derleme | 알 수 없음 |
| Packer | UPX |
C2 Adresi: Sifrelenmis/obfuskeli config (statik analizle cozulemedi)
Yetenekler
- Tespit edilemedi (obfuskeli)
Gelistirici Ipuclari
PDB Yolu: bash: -c: line 1: syntax error near unexpected token `|'
bash: -c: line 1: `grep -oiE '[A-Za-z]:\\Users\\[^\\]{2,30}\\[^
Telegram: @LHsI @SddE @UDEl @yNYA
PE Analizi
Binwalk / Packer
DECIMAL HEXADECIMAL DESCRIPTION -------------------------------------------------------------------------------- 0 0x0 Zip archive data, encrypted compressed size: 42
패밀리 Tespiti
String kaniti bulunamadi (sifrelenmis/obfuskeli).
DCRat — 악성코드 프로필
DCRat Rusça RAT. sostener1.vbs VBScript dropper. PowerShell ExecutionPolicy Bypass. geutqmonpmjthuux.ru DGA C2.
악성코드 유형
RAT
프로그래밍 언어
C#/.NET
C2 프로토콜
HTTP
대상 시스템
Windows
다른 이름 (AKA)
DarkCrystal
기술 세부 정보
.NET C#, AES-128-CBC sifreleme, plugin mimarisi (DLLler), TCP varsayilan port 5552, SQLite lokal depolama, Anti-VM/Sandbox (Process check, Registry), Loader, Stealer, RAT modulleri ayri
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (5 개 지표)
IOC — DCRat
#
6a87adf7322f7a7a0a0f4fa2203f10b3e36ca877
# SHA256
59ce29a8e44e2065bd3defb6c51fbab502cd39ab69c530244caabfc293422b5b
# MD5
b612347cc44edb21170cd00bbfff03fa
# FILEPATH
bash: -c: line 1: syntax error near unexpected token `|'
# FILEPATH
bash: -c: line 1: `grep -oiE '[A-Za-z]:\\[^\s\"'\'<>|*?]{5,150}' /tmp/all.txt | grep -viE '(msbuild|nuget|packages|Microsoft\.NET)' | sort -u | head -10'
| 유형 | 값 | 메모 |
|---|---|---|
| 6a87adf7322f7a7a0a0f4fa2203f10b3e36ca877 | ||
| sha256 | 59ce29a8e44e2065bd3defb6c51fbab502cd39ab69c530244caabfc293422b5b | |
| md5 | b612347cc44edb21170cd00bbfff03fa | |
| filepath | bash: -c: line 1: syntax error near unexpected token `|' | |
| filepath | bash: -c: line 1: `grep -oiE '[A-Za-z]:\\[^\s\"'\'<>|*?]{5,150}' /tmp/all.txt | grep -viE '(msbuild|nuget|packages|Microsoft\.NET)' | sort -u | head -10' |
C2 서버 (이 패밀리에 대해 8개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| microsoft.com | domain | — | TCP | active | — |
| digicert.com | domain | — | TCP | active | — |
| crypto.io | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
| microsoft.com | domain | — | TCP | active | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.