Manuel Statik Analiz — AsyncRAT | Tehdit: ВЫСОКИЙ | CVSS: 7.5

Файл Kimliği

SHA25644760ec58f066892b58f50330093213d3bfb0358d74f735010aaf54585712b34
MD500a25c881533896a7fb5646f1411596a
Имя файла44760ec58f066892b58f50330093213d3bfb0358d74f735010aaf54585712b34.exe
Размер954,368 byte (932 KB)
ТипPE32 executable for MS Windows 4.00 (GUI), Intel i386 Mono/.Net assembly, 3 sections
String Sayısı3,577

PE Bölümleri

BölümV.SizeEntropi
.text951,3327.5
.rsrc1,0602.64
.reloc120.1

Import Tablosu

  • mscoree.dll
  • _CorExeMain

IOC

SHA25644760ec58f066892b58f50330093213d3bfb0358d74f735010aaf54585712b34
MD500a25c881533896a7fb5646f1411596a
IP Adresleri4.0.0.0, 11.0.0.0, 17.12.0.0, 17.0.0.0, 2.28.17.76
Domainsystem.io
MutexFlushFinalBlock

AsyncRAT — Профиль вредоносного ПО

AsyncRAT, 2019'da acik kaynak olarak yayimlanan C# tabanli RAT ailesidir. Ekran yakalama, keylogger, dosya islemleri, HVNC ve plugin sistemine sahiptir. C2 AES-128-CBC ile sifrelenir, TCP uzerinden calisir. JS/PDF yemi ile dagitilir.

Тип вредоносного ПО
RAT
Язык программирования
.NET C#
C2 Протокол
TCP/SSL
Целевые системы
Windows
Другие названия (AKA)
AsyncClient

Технические детали

C# .NET, AES-128-CBC sifreleme, TCP port 6606/4449 (varsayilan), Mutex kontrol, Runtime assembly loading, Anti-analysis (VM check, Process listesi), HVNC, Keylogger, Stealer, Botnet modulu

Атрибуция / Актор угрозы

Acik kaynak - orjinal gelistirici GitHub'da yayinladi; surekli siber suclu toplulugu tarafindan kullanilmaktadir. APT operasyonlari da dahil olmak uzere cok sayida farkli tehdit aktoru kullanmaktadir.

Возможности и поведение

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Список IOC (9 индикаторов)

IOC — AsyncRAT
# SHA256 44760ec58f066892b58f50330093213d3bfb0358d74f735010aaf54585712b34 # MD5 00a25c881533896a7fb5646f1411596a # IP 4.0.0.0 # IP 11.0.0.0 # IP 17.12.0.0 # IP 17.0.0.0 # IP 2.28.17.76 # DOMAIN system.io # MUTEX FlushFinalBlock
ТипЗначениеПримечание
sha256 44760ec58f066892b58f50330093213d3bfb0358d74f735010aaf54585712b34
md5 00a25c881533896a7fb5646f1411596a
ip 4.0.0.0 C2 aday
ip 11.0.0.0 C2 aday
ip 17.12.0.0 C2 aday
ip 17.0.0.0 C2 aday
ip 2.28.17.76 C2 aday
domain system.io C2 domain
mutex FlushFinalBlock Mutex

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
AsyncRATmalwarestatik-analizIOC