Manuel Statik Analiz — CraxsRAT | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | 12f2b7dc2ce5d510597602b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |
|---|---|
| 文件名 | Craxs.rar (kendi adıyla RAR dağıtım!) |
| 大小 | 5.976.020 byte (5.7MB) |
| String Sayisi | 28.232 |
Kendi Adıyla Dağıtım: Craxs.rar
NOT: Saldırgan kendi RAT adını kullanıyor!
Craxs.rar Craxs.exe ← RAR içindeki birincil çalıştırılabilir Built.exe ← İkincil yük (compiled/packed payload) -- CraxsRAT = hem Windows hem Android RAT -- "Craxs" = eski İngilizce "crack" (kırma) kelimesinin yazımı -- Self-named dağıtım → düşük OPSEC (saldırgan araç adını gizlemiyor)
Dört C2 Substring
C2 KALIPLAR:
sI_C2? -- C2 adres parçası (büyük/küçük mix) 6>c2 -- Düşük ASCII + c2 referans Vc2*o -- V prefix c2 pattern VC2Q! -- Büyük harf VC2Q dizisi -- Dört farklı c2 substring = şifreli C2 adresi binary içine gömülü -- Aynı XOR/RC4 şifreli C2 adresinin farklı offset'lerinden gelen parçalar
Anahtar Fragmanı
TB<kEyH~ -- "kEyH" = "key hash" veya anahtar parçası -- Şifreleme anahtarının binary içindeki izleri -- CraxsRAT AES şifreleme kullandığı biliniyor
IOC
| SHA256 | 12f2b7dc2ce5d510597602b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f |
|---|---|
| Lure | Craxs.rar kendi adı (düşük OPSEC) |
| 文件lar | Craxs.exe, Built.exe |
CraxsRAT — 恶意软件档案
CraxsRAT hem Windows hem Android RAT. Craxs.rar kendi adiyla dagitim. Built.exe ikincil yuk. dört C2 substring.
恶意软件类型
RAT
编程语言
C#/.NET
C2协议
TCP/HTTP
目标系统
Küresel
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — CraxsRAT
# SHA256
12f2b7dc2ce5d510597602b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 12f2b7dc2ce5d510597602b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f | len=63 |