Manuel Statik Analiz (LLM Okumali) — DCRat (Dark Crystal RAT) | Tehdit: KRITIK

文件 Kimligi

SHA2567b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
Orijinal AdClient.exe
Dil.NET Framework 4.0
Versiyon1.0.7.0

Gelistirici Imzasi

Kritik String Tespiti: Binary icerisinde gelistiricinin takim adi olan DcRatByqwqdanchun cleartext olarak bulunmaktadir. Bu, DCRat ailesi icin kesin teyit saglar. 
DcRatByqwqdanchun    <-- Gelistirici imzasi (cleartext)
MutexControl         <-- Mutex adi
$29840822-5B84-11D0-BD3B-00A0C911CE86   <-- GUID

DCRat Hakkinda

DCRat (Dark Crystal RAT), qwqdanchun takma adli bir gelistirici tarafindan 2019 yilinda ortaya cikan ve Russian RuTOR forumunda dusuk maliyetle satilan bir .NET RATdir. Rusya kokenli underground gelistirme surecinin nadir bir ornegi olan DCRat, moduler mimarisiyle dikkat ceker.

DCRat Yetenekleri

ModulYetenek
Temel RATUzak kabuk, dosya yonetimi, surec yonetimi
KeyloggerTus kaydi ve ekran goruntusu
StealerTarayici sifreleri, Discord token, Telegram
ClipperKripto cuzdan adresi degistirme
RansomwareSecilebilir modul (nadiren kullanilir)
HVNCGizli uzak masaustu

MB Etiketi Yanilticiligi

Bu ornek MalwareBazaar tarafindan AsyncRAT olarak etiketlenmistir. Ancak binary icindeki DcRatByqwqdanchun dizisi, bu orneklerin DCRat olduğunu kesin sekilde ortaya koymaktadir. DCRat, AsyncRAT kod tabanini fork alarak gelistirildiginden otomatik analiz sistemleri zaman zaman yanlis etiketleyebilir.

IOC

SHA2567b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
Gelistiriciqwqdanchun
MutexMutexControl
Versiyon1.0.7.0
GUID$29840822-5B84-11D0-BD3B-00A0C911CE86
C2Sifrelenmis TCP (dinamik analiz gerekli)

DCRat — 恶意软件档案

DCRat Rusça RAT. sostener1.vbs VBScript dropper. PowerShell ExecutionPolicy Bypass. geutqmonpmjthuux.ru DGA C2.

恶意软件类型
RAT
编程语言
C#/.NET
C2协议
HTTP
目标系统
Windows
别名 (AKA)
DarkCrystal

技术细节

.NET C#, AES-128-CBC sifreleme, plugin mimarisi (DLLler), TCP varsayilan port 5552, SQLite lokal depolama, Anti-VM/Sandbox (Process check, Registry), Loader, Stealer, RAT modulleri ayri

能力与行为

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOC列表 (1 个指标)

IOC — DCRat
# SHA256 7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
类型值备注
sha256 7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14
DCRat — 查看完整档案 →

C2服务器 (该家族共有 8 台已记录服务器)

地址 类型 端口 协议 状态 国家
microsoft.com domain &mdash; TCP active &mdash;
digicert.com domain &mdash; TCP active &mdash;
crypto.io domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;
microsoft.com domain &mdash; TCP active &mdash;

C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。

标签
dcratdark-crystal-ratqwqdanchunmutexcontroldotnetratgelistirici-imzasi