Asyncrat-Venom-Dcrat-Config-Extractor

مستخرج إعدادات ثابتة لـ Asyncrat/Dcrat/VenomRat

يستخدم dnlib لتحديد موقع بيانات الإعدادات المشفرة وقيم التشفير المرتبطة بها. يتم فك تشفير القيم داخل السكربت دون محاكاة أو تنفيذ كود البرمجيات الخبيثة.

• يفترض أن الإعدادات موجودة تحت الصنف Client.Settings
• يفترض أن الإعدادات مشفرة بتشفير AES256 ومرمزة بـ base64.
• يفترض أن معظم الملف غير مُعمّى إلى حد كبير.
• يفترض أن ملح AES256 مخزّن إما كمصفوفة بايتات (asyncrat) أو كسلسلة نصية بسيطة (venom/dcrat).
• الكود المستخدم لاستخراج مصفوفة البايتات هو نسخة معدّلة من كود OALabs/StormKitty (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

مثال

asyncrat-config-extractor.py asyncrat.bin

عينات

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc
• Venom: 2941774e26232818b739deff45e59a32247a4a5c8d1d4e4aca517a6f5ed5055f
• Dcrat: ed7cd05b950c11d49a3a36f6fe35e672e088499a91f7263740ee8b79f74224e9

المخرجات

القيم المشفرة الأصلية