Asyncrat-Venom-Dcrat-Config-Extractor

Extracteur statique de configuration pour Asyncrat/Dcrat/VenomRat

Utilise dnlib pour localiser les données de configuration chiffrées et les valeurs de chiffrement associées. Les valeurs sont déchiffrées dans le script sans émuler ni exécuter le code du malware

• Suppose que la configuration se trouve sous la classe Client.Settings
• Suppose que la configuration est encodée en base64 et chiffrée en AES256.
• Suppose que la majeure partie du fichier n'est pas obscurcie
• Suppose que le sel AES256 est stocké soit sous forme de tableau d'octets (asyncrat), soit sous forme de chaîne simple (venom/dcrat)
• Le code d'extraction du tableau d'octets est une version modifiée du code d'OALabs/StormKitty (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

Exemple

asyncrat-config-extractor.py asyncrat.bin

Échantillons

• Asyncrat : 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc