Manuel Statik Analiz — WshRAT | Tehdit: 中
文件 Kimliği
| SHA256 | 3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8 |
|---|---|
| 文件名 | TTCOPYREF251088.vbs (Takip Referanslı VBS Teslimat!) |
| 大小 | 1.828.708 byte (1.74MB) |
| String Sayisi | 213 (yüksek obfuskasyon) |
TTCOPYREF251088.vbs: Takip Numaralı VBS Teslimat
TTCOPYREF251088.vbs -- "TT" = Freight/kargo prefix (DHL TT numarası formatı!) -- "COPYREF" = Copy Reference (belge referans kopyası) -- "251088" = referans numarası (tarih formatı: 25/10/88?) -- ".vbs" = VBScript (Windows Script Host tarafından çalıştırılır) -- Teslimat senaryosu: kargo/kurye takip referanslı e-posta eki - "Gönderi bilgilerinizi görmek için eki açın" - Windows: .vbs dosyaları çift tıkla doğrudan çalışır -- 1.74MB VBS: payload inline base64/string obfuskasyon içeriyor
jcYlyhzds...QqoK: Aşırı Uzun Rastgele Değişken Adı Obfuskasyonu
OBFUSKASyon TEKNİĞİ: Değişken adları analizi zorlaştırıyor!
jcYlyhzdsjCoseSkpwVLhJnPZKnbEqdkMseQQqoK = jcYlyhzdsjCoseSkpwVLhJnPZKnbEqdkMseQQqoK & ... -- 40+ karakter rastgele büyük/küçük harf değişken adı -- VBScript obfuskasyon: AV regex pattern'larını atlatmak için - "jcYlyhzdsjCoseSkpwVLhJnPZKnbEqdkMseQQqoK" = string buffer - " = değişken & " = string birleştirme (VBS string join) -- Teknik: payload yüzlerce parçaya bölünmüş, runtime'da birleşiyor -- Analiz zorluğu: 213 string → gerçek payload tek değişkende birleşiyor -- WshRAT: "Windows Scripting Host RAT" - VBS/JS/WSF dosyaları aracılığıyla dağıtım - WScript.Shell üzerinden komuta bağlanma - Keylogger, screenshot, download/upload yetenekleri
IOC
| SHA256 | 3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8 |
|---|---|
| Lure | TTCOPYREF251088.vbs |
WshRAT — 恶意软件档案
WshRAT Windows Scripting Host RAT. TTCOPYREF VBS cargo tracking delivery. Long random variable obfuscation. String concatenation payload reconstruction.
恶意软件类型
RAT
编程语言
VBScript
C2协议
TCP/HTTP
目标系统
Küresel
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — WshRAT
# SHA256
3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8
| 类型 | 值 | 备注 |
|---|---|---|
| sha256 | 3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8 |