Statik Analiz — AsyncRAT | ВЫСОКИЙ | CVSS: 7.5

Файл

SHA256e2f3eb803ed35313e66472f56bf345b11e8b5ea4a59b2b6c504a117ec558bd65
MD56bf6a2f47335159f52183112671518c8
Файлe2f3eb803ed35313e66472f56bf345b11e8b5ea4a59b2b6c504a117ec558bd65.exe
Размер23,128,576 byte
ТипPE32+ executable for MS Windows 4.00 (GUI), x86-64 Mono/.Net assembly, 2 sections
Stringler40,599

Bölümler

AdEntropi
.text8.0
.rsrc3.73

IOC

SHA256e2f3eb803ed35313e66472f56bf345b11e8b5ea4a59b2b6c504a117ec558bd65
MD56bf6a2f47335159f52183112671518c8
IP1.0.0.0, 14.0.0.0, 4.0.0.0
Domainsystem.io, kdsj.li
MutexCreateMutex
C2system.io, kdsj.li

AsyncRAT — Профиль вредоносного ПО

AsyncRAT, 2019'da acik kaynak olarak yayimlanan C# tabanli RAT ailesidir. Ekran yakalama, keylogger, dosya islemleri, HVNC ve plugin sistemine sahiptir. C2 AES-128-CBC ile sifrelenir, TCP uzerinden calisir. JS/PDF yemi ile dagitilir.

Тип вредоносного ПО
RAT
Язык программирования
.NET C#
C2 Протокол
TCP/SSL
Целевые системы
Windows
Другие названия (AKA)
AsyncClient

Технические детали

C# .NET, AES-128-CBC sifreleme, TCP port 6606/4449 (varsayilan), Mutex kontrol, Runtime assembly loading, Anti-analysis (VM check, Process listesi), HVNC, Keylogger, Stealer, Botnet modulu

Атрибуция / Актор угрозы

Acik kaynak - orjinal gelistirici GitHub'da yayinladi; surekli siber suclu toplulugu tarafindan kullanilmaktadir. APT operasyonlari da dahil olmak uzere cok sayida farkli tehdit aktoru kullanmaktadir.

Возможности и поведение

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Список IOC (6 индикаторов)

IOC — AsyncRAT
# IP 1.0.0.0 # IP 14.0.0.0 # IP 4.0.0.0 # DOMAIN system.io # DOMAIN kdsj.li # MUTEX CreateMutex
ТипЗначениеПримечание
ip 1.0.0.0 C2 aday
ip 14.0.0.0 C2 aday
ip 4.0.0.0 C2 aday
domain system.io C2 domain
domain kdsj.li C2 domain
mutex CreateMutex Mutex

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —
microsoft.com domain — TCP active —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
AsyncRATmalwarestatik-analizIOC