Asyncrat-Venom-Dcrat-Config-Extractor

Statischer Konfigurationsextraktor für Asyncrat/Dcrat/VenomRat

Nutzt dnlib, um verschlüsselte Konfigurationsdaten und zugehörige Verschlüsselungswerte zu lokalisieren. Die Werte werden im Skript entschlüsselt, ohne Schadcode zu emulieren oder auszuführen

• Geht davon aus, dass die Konfiguration unter der Klasse Client.Settings liegt
• Geht davon aus, dass die Konfiguration base64-codiert und AES256-verschlüsselt ist
• Geht davon aus, dass der Großteil der Datei weitgehend nicht verschleiert ist
• Geht davon aus, dass das Aes256-Salt entweder als Byte-Array (asyncrat) oder als einfacher String (venom/dcrat) gespeichert ist
• Der Code zum Extrahieren des Byte-Arrays ist eine modifizierte Version des Codes von OALabs/StormKitty (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

Beispiel

asyncrat-config-extractor.py asyncrat.bin

Beispiele

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc