PureRAT-msbuild.exe--C2-Extraction--Net-Evasion-Analysis

1. Ejecución de msbuild.exe y direcciones C2

El análisis de memoria con Process Hacker revela que PureRAT se ejecuta mediante msbuild.exe (una herramienta de compilación legítima de Microsoft) y se conecta a múltiples servidores C2.

Observaciones clave:

• Proceso objetivo: MSBuild.exe (PID 2056).
• Dominio C2: pure8s.ddnsfree.com
• Dirección IP C2: 52.241.248.38
• Clave de registro: HKEY_CURRENT_USER\Software\95082F4ACEBFA802830...
• Cadena en turco: Erişim izinlerinize izin verilmeyen bir... (mensaje de error de acceso denegado).

Por qué esto es importante:

• Living Off the Land: msbuild.exe es una herramienta legítima abusada para la ejecución.
• Redundancia C2: Se utilizan tanto el dominio como la dirección IP para la comunicación.
• Persistencia: La clave de registro indica un mecanismo de persistencia.

Referencia visual:

Vista de Process Hacker mostrando cadenas de msbuild.exe con el dominio C2 (pure8s.ddnsfree.com) y la IP (52.241.248.38).

2. Manipulación de .NET y técnicas de evasión

El análisis de memoria con Process Hacker de msbuild.exe revela que PureRAT utiliza manipulación de .NET y APIs de evasión para evitar la detección.

Cadenas clave observadas:

• DisableNativeImageLoad – Deshabilita la carga de imágenes nativas (evasión).
• FlsSetValue / FlsGetValue – Fiber Local Storage (anti-depuración).
• OpenProcessToken / GetTokenInformation – Manipulación de tokens (escalada de privilegios).
• CreateBoundaryDescriptorW – Crea descriptores de límite (evasión de sandbox).
• mscordacwks.dll – DLL de depuración de .NET (posible evasión de depuración).
• AssemblyPath / BindingConfiguration – Carga de ensamblados .NET.
• WerRegisterRuntimeExceptionModule – Manipulación del informe de errores.
• AttachThreadAlwaysOn – Adjuntar hilo (inyección).

Por qué esto es importante:

• Manipulación de .NET: AssemblyPath y BindingConfiguration confirman el uso de .NET.
• Evasión: DisableNativeImageLoad y CreateBoundaryDescriptorW ayudan a evitar la detección.
• Escalada de privilegios: OpenProcessToken permite la manipulación de tokens.
• Anti-depuración: FlsSetValue y AttachThreadAlwaysOn complican el análisis.

Referencia visual:

Vista de Process Hacker mostrando DisableNativeImageLoad, OpenProcessToken y otras APIs de evasión.

3. DisableNativeImageLoad – Manipulación de ensamblados .NET y XML

El análisis con Binary Ninja del código guardado de DisableNativeImageLoad revela que PureRAT utiliza manipulación de ensamblados .NET y estructuras de datos basadas en XML.

Cadenas clave observadas:

• MicrodomImplementation – Implementación de XML DOM de Microsoft.
• CreateMicrodomSource – Crea una fuente XML DOM (configuración).
• DsiGBufferedStream – Flujo con búfer para el procesamiento de datos.
• CRTIXMLDSIGBaseHasher – Hashing de firmas digitales XML.
• CRTIXMLDSIGEnvelopedSignatureTransformer – Transformación de firmas XML.
• AssemblyPath – Ruta del ensamblado .NET.
• BindingConfiguration – Configuración de enlace de .NET.

Por qué esto es importante:

• Uso de .NET: Confirma que PureRAT es un RAT basado en .NET.
• Manipulación de XML: Utiliza XML para configuración y firmas digitales.
• Procesamiento de datos: DsiGBufferedStream maneja grandes flujos de datos.
• Evasión: DisableNativeImageLoad impide la carga de imágenes nativas, complicando el análisis.

Referencia visual:

Vista de Binary Ninja mostrando MicrodomImplementation, DsiGBufferedStream y APIs de firmas XML.

4. DisableNativeImageLoad (continuación) – Manipulación del sistema de archivos y CDF

Esta sección continúa el análisis con Binary Ninja del código de DisableNativeImageLoad de la sección anterior. Revela operaciones del sistema de archivos y manipulación de CDF (Component Definition File) utilizadas por PureRAT.

Observaciones clave:

• Operaciones de archivos: DeleteFile, QueryAttributesFile, QueryDirectoryFile, WriteFile, ReadFile, CopyFile, CreateHardLinkOrCopyFile, CreateFile – control total del sistema de archivos.
• Validación de CDF: (ReferenceIdentityList != 0) || (CurrentPosition == 0) – valida referencias CDF.
• Indicadores CDF: (NewCdf->Flags & ~((0x00000001) | (0x00000002))) == 0 – comprueba los indicadores CDF.
• Manipulación de rutas: CreateFile(da={da}, oa={oa}, fa={fa}, sa={sa}, cd={cd}, co={co}):(st={st}.h={h}) – construye rutas de archivos dinámicamente.

Por qué esto es importante:

• Control del sistema de archivos: El malware puede crear, leer, escribir y eliminar archivos.
• Manipulación de CDF: Se utiliza para la configuración y la gestión de identidades.
• Evasión: La construcción dinámica de rutas ayuda a evitar la detección.

Referencia visual:

Vista de Binary Ninja mostrando operaciones de archivos, validación de CDF y construcción dinámica de rutas.

5. .NET Remoting y manipulación de proxy

El análisis de memoria con Process Hacker de msbuild.exe revela que PureRAT utiliza .NET Remoting y APIs de proxy para la comunicación entre procesos y la inyección de código.

Cadenas clave observadas:

• GetServerDomainIdForProxy – Recupera el ID de dominio del servidor para el proxy.
• RegisterAssembly – Registra un ensamblado .NET.
• CreateProxyForDomain – Crea un proxy para un dominio.
• MarshalToBuffer / UnmarshalFromBuffer – Serializa/deserializa datos.
• GetLocalSignature – Recupera la firma local.
• ThrowException – Lanza excepciones (manejo de errores).
• UnsafeCast / UnsafeEnumCast – Conversión de tipos insegura (evasión).
• ExecuteBackoutCodeHelper – Ejecuta código de reversión.

Por qué esto es importante:

• .NET Remoting: GetServerDomainIdForProxy confirma el uso de remoting.
• Manipulación de proxy: CreateProxyForDomain permite IPC.
• Serialización de datos: MarshalToBuffer y UnmarshalFromBuffer manejan datos.
• Evasión: UnsafeCast y UnsafeEnumCast ayudan a eludir la seguridad de tipos.

Referencia visual:

Vista de Process Hacker mostrando GetServerDomainIdForProxy, RegisterAssembly y otras APIs de Remoting.

6. GetServerDomainIdForProxy – HTTP, COM y sistema de archivos aislado

Esta sección continúa el análisis con Binary Ninja del código de GetServerDomainIdForProxy de la sección anterior. Revela comunicación HTTP, uso de COM (Component Object Model) y operaciones de sistema de archivos aislado utilizadas por PureRAT.

Observaciones clave: