kaandemir993/overlord-rat-reverse-engineering-a-go-based-rat-injection-keylogging-c2-exfiltration-analysisVollständige statische & Speicheranalyse von Overlord RAT: Go-Agent-Architektur, HTTP/2- + WebSocket-C2, reflektive DLL-Injektion, Browser-Keylogging und IOCs. Ein praxisorientierter Malware-RE-Walkthrough.
Der Speicher-String-Scan von Process Hacker des Overlord RAT (PID 7488) offenbart eine große Anzahl von Windows-API-Aufrufen und internen Strings, die zur Laufzeit aufgelöst werden. Unter diesen sticht http2dialCall als eine HTTP/2-basierte Callback-Routine hervor, die zum Aufbau der C2-Kommunikation verwendet wird. Das Vorhandensein von Krypto-, Input-Capture- und Grafik-bezogenen APIs deutet auf einen voll ausgestatteten RAT mit Keylogging-, Bildschirmaufnahme- und verschlüsselten C2-Fähigkeiten hin.
http2dialCall – HTTP/2-Callback-Funktion; wird verwendet, um den C2-Kanal über HTTP/2 (Port 443) zu öffnen und sich mit legitimem HTTPS-Verkehr zu vermischen. http2clientConnPool – Verbindungspool für HTTP/2-C2-Sitzungen; ermöglicht persistente, multiplexte Kommunikation mit dem C2-Server. maxIdleConnsPerHost / GetEvictionPriority / SetEvictionPriority – Verwaltung des Verbindungslebenszyklus; hält inaktive C2-Kanäle am Leben und umgeht Timeouts. CreateCryptoSession /GetEncryptionBltKey – DirectX/GPU-basierte Krypto-Sitzungserstellung; wird für verschlüsselte Bildschirmaufnahme oder GPU-beschleunigte Operationen verwendet. capture._Ctype_int / capture.monCapture / capture.scaledPart / capture.mfActivate – Routinen zur Bildschirmaufnahme und Desktop-Überwachung. GetInputCurrentType / GetImmediateContext – Abruf von Eingabe- und Rendering-Kontext; unterstützt Keylogging und Screen Scraping. CreateTrueColorCondition – Einrichtung der Anzeigebedingung für Bildschirmaufnahmeoperationen.
HTTP/2-C2: Die Verwendung von http2dialCall und http2clientConnPool zeigt, dass der RAT über HTTP/2 kommuniziert, was schwerer zu erkennen ist als einfaches HTTP und sich mit modernem Webverkehr vermischt. Verschlüsselte Exfiltration: CreateCryptoSession und GetEncryptionBltKey deuten auf verschlüsselte Datenübertragung hin, wahrscheinlich für gestohlene Dateien oder Screenshots. Vollständige RAT-Fähigkeiten: Bildschirmaufnahme (capture.) + Eingabeerfassung (GetInputCurrentType) = Keylogging und Fernüberwachung. Living-off-the-Land-Stil: Die Laufzeitauflösung von API-Strings (verschleierte Speicherung) ist eine gängige Evasion-Technik, um statische String-Analysen zu vereiteln. Persistenz & Evasion: Verbindungspool-Verwaltung (maxIdleConnsPerHost, GetEvictionPriority) hält C2-Kanäle stabil und vermeidet Erkennung.
Ein zweiter String-Scan desselben Overlord-RAT-Prozesses offenbart eine eigenständige Gruppe von Strings im Zusammenhang mit Eingabeerfassung, WebSocket-C2 und Speicher-/Reflection-Manipulation. Anders als der erste Satz, der sich auf HTTP/2 und Bildschirmaufnahme konzentrierte, deutet dieser Satz auf Keylogging, persistente WebSocket-Kommunikation und In-Memory-Ausführungstechniken hin.
capture.rawWin – Routine zur Rohfensteraufnahme; wird für Screenshots aktiver Fenster verwendet. captureKeyStrokes – direkte Keylogging-Funktion; erfasst jeden Tastendruck auf dem Opferrechner. map[uintptr]bool – Laufzeit-Map-Struktur; wird wahrscheinlich verwendet, um gehackte APIs oder erfasste Handles zu verfolgen. websocket.noCopy / websocket.header / websocket.opcode – WebSocket-Implementierungsstrings; deuten darauf hin, dass der RAT WebSocket als sekundären C2-Kanal verwendet (zusätzlich zu HTTP/2). writeFramePayload/ readCloseFrameErr / setCloseErrLocked – WebSocket-Frame-Verarbeitung; bestätigt aktive WebSocket-basierte C2-Kommunikation. reflectlite.Type / abi.UncommonType/ abi.PCLnTabMagic – Go-Laufzeit-Reflection/ABI-Strings; deuten darauf hin, dass die Payload eine Go-basierte Binärdatei ist, die Reflection verwendet. msgpack.isZeroer / msgpack.field – MessagePack-Serialisierung; wird verwendet, um C2-Nachrichten effizient zu packen/entpacken. sync.poolDequeue / poolLocalInternal – Go-Sync-Pool-Verwaltung; wird für leistungsstarke Speicherwiederverwendung verwendet.
Duale C2-Kanäle: HTTP/2 (http2dialCall) + WebSocket (websocket.) = redundantes C2 mit automatischem Failover, falls ein Kanal blockiert wird. Keylogging-Fähigkeit: captureKeyStrokes bestätigt, dass der RAT eine aktive Tastendruckerfassung durchführt — Anmeldedaten, Chats und Passwörter sind gefährdet. Go-basierte Payload: reflectlite, abi.PCLnTabMagic und msgpack-Strings zeigen, dass dies ein Go-kompilierter RAT ist, der schwerer zu reverse-engineeren ist und oft AV-Signaturen umgeht. MessagePack-Serialisierung: msgpack. deutet auf kompakte binäre C2-Nachrichtenübermittlung hin, was den Netzwerk-Footprint reduziert und DPI umgeht. In-Memory-Reflection: *reflectlite.Type und *abi.UncommonType werden für dynamische Funktionsauflösung verwendet — eine gängige Evasion, um statische Importe zu vermeiden. Stealthy WebSocket-C2: WebSocket-Verkehr über Port 443 vermischt sich mit legitimen Web-Apps, was die Erkennung durch Netzwerküberwachung erschwert.
Die gedumpte Binärdatei connectstart.bin (extrahiert aus den Process-Hacker-Speicher-Strings des Overlord-RAT-Prozesses) wurde zur statischen Analyse in Binary Ninja geladen. Die String-Ansicht offenbart ein vollständig strukturiertes Keylogger-Modul, das in die Payload eingebettet ist, zusammen mit einem klaren Agent-Befehl-Namespace (overlord-client/cmd/agent/keylogger.*). Dies bestätigt, dass Overlord RAT mit einer modularen Agent-Architektur ausgeliefert wird, bei der der Keylogger ein dediziertes Subsystem ist, das über C2-Befehle gesteuert wird.
Modulpfad: overlord-client/cmd/agent/keylogger.* – klarer Go-Paket-Namespace für den Keylogger-Agenten. (Keylogger).Start/ .Stop – startet und stoppt den Keylogger auf C2-Befehl. (Keylogger).IsRunning – prüft, ob der Keylogger bereits aktiv ist. (Keylogger).captureLoop – Hauptschleife, die kontinuierlich Tastendrücke erfasst. (*Keylogger).logKey – Funktion zur Roh-Tastendruckerfassung. (Keylogger).getWindowTitle – erfasst den Titel des aktiven Fensters (Kontext für jeden Tastendruck). (Keylogger).flushBuffer / .flushLoop / .FlushNow – periodisches Flushen erfasster Tastendrücke auf die Festplatte oder zum C2. (Keylogger).ListFiles / .ReadFile / .DeleteFile / .ClearAll (Keylogger).rotateFile / .cleanupOldLogs – Log-Rotation und Bereinigung zur Vermeidung von Erkennung.
