Asyncrat-Venom-Dcrat-Config-Extractor

Asyncrat/Dcrat/VenomRat के लिए स्टैटिक कॉन्फ़िग एक्सट्रैक्टर

एन्क्रिप्टेड कॉन्फ़िग डेटा और संबंधित एन्क्रिप्शन मानों का पता लगाने के लिए dnlib का उपयोग करता है। मान स्क्रिप्ट में डिक्रिप्ट किए जाते हैं, बिना मैलवेयर कोड को इम्यूलेट या निष्पादित किए।

• मानता है कि कॉन्फ़िग Client.Settings क्लास के अंतर्गत स्थित है
• मानता है कि कॉन्फ़िग base64 एन्कोडेड और AES256 एन्क्रिप्टेड है।
• मानता है कि फ़ाइल का अधिकांश भाग काफी हद तक अप्रच्छन्न (unobfuscated) है
• मानता है कि Aes256 Salt को बाइट ऐरे (asyncrat) या साधारण स्ट्रिंग (venom/dcrat) के रूप में संग्रहीत किया जाता है
• बाइट ऐरे निकालने के लिए कोड OALabs/StormKitty के कोड का संशोधित संस्करण है (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

उदाहरण

asyncrat-config-extractor.py asyncrat.bin

नमूने

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc
• Venom: 2941774e26232818b739deff45e59a32247a4a5c8d1d4e4aca517a6f5ed5055f
• Dcrat: ed7cd05b950c11d49a3a36f6fe35e672e088499a91f7263740ee8b79f74224e9

आउटपुट

मूल एन्क्रिप्टेड मान