Manuel Statik Analiz — VenomRAT | Tehdit: YUKSEK
파일 Kimliği
| SHA256 | 6d25076b0cf8d4931510400b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 크기 | 1.510.400 byte (1.5MB) |
| String Sayisi | 9.345 |
URL Shortener C2 Maskeleme
https://www.golink.com/ -- GoLink = URL shortener/yönlendirme servisi -- Gerçek C2 IP'si kısaltıcı arkasında gizlenir -- GoLink değiştirilirse → yeni C2 yönlendirme (esneklik!) -- Whitelist engellerini aşar: golink.com meşru görünür
Microsoft SmartScreen Bypass
SOFTWARE\Microsoft\PolicyManager\default\Browser\AllowSmartScreen -- SmartScreen = indirilen dosyaları bulut tabanlı tarama -- Bu registry key = MDM/GPO SmartScreen kontrolü -- 0 değerine ayarlanırsa SmartScreen devre dışı kalır! -- UAC/SmartScreen bypass → payload'ı uyarısız çalıştırır
IOC
| SHA256 | 6d25076b0cf8d4931510400b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| C2 Maskeleme | golink.com (URL shortener) |
| Bypass | Browser\AllowSmartScreen registry |
VenomRAT — 악성코드 프로필
VenomRAT .NET 2021 QuasarRAT fork. golink.com URL shortener C2. AllowSmartScreen bypass. HVNC+keylogger+stealer.
악성코드 유형
RAT
프로그래밍 언어
C#/.NET
C2 프로토콜
TCP/SSL
대상 시스템
Windows
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (1 개 지표)
IOC — VenomRAT
# DOMAIN
golink.com
| 유형 | 값 | 메모 |
|---|---|---|
| domain | golink.com |