DesckVB RAT (v2.9) — मॉड्यूलर .NET RAT, बहु-चरण वितरण और प्लगइन इकोसिस्टम

"Pjoao1578" से टूलचेन लिंकेज

लेखक: ShadowOpCode
X/ट्विटर: https://x.com/ShadowOpCode

यह रिपॉजिटरी एक सक्रिय मैलवेयर इकोसिस्टम पर एक पूर्ण तकनीकी रिपोर्ट के साथ आती है, जो DesckVB RAT पर केंद्रित है, जो एक मॉड्यूलर .NET रिमोट एक्सेस ट्रोजन है जिसे 2026 की शुरुआत में लाइव अभियानों में देखा गया था।

विश्लेषण पूरे संक्रमण जीवनचक्र का पुनर्निर्माण करता है, प्रारंभिक JavaScript वितरण से लेकर मेमोरी में निष्पादन, C2 संचार और ऑन-डिमांड प्लगइन परिनियोजन तक।

⚠️ यह रिपॉजिटरी दुर्भावनापूर्ण बाइनरी वितरित नहीं करती।
इसमें केवल शोध सामग्री, समझौता संकेतक और रक्षात्मक अंतर्दृष्टि शामिल है।

---

📄 रिपोर्ट

• PDF: DesckVB_RAT.pdf
• मुख्य विषय शामिल:
  • बहु-चरण संक्रमण श्रृंखला (WSH JavaScript → PowerShell → .NET लोडर → RAT)
  • C2 कॉन्फ़िगरेशन (होस्ट, पोर्ट, म्यूटेक्स, फ्लैग) का रनटाइम डिक्रिप्शन
  • ऐतिहासिक PCAP डेटा का उपयोग करके कस्टम TCP C2 प्रोटोकॉल का पुनर्निर्माण
  • मॉड्यूलर प्लगइन्स (कीलॉगर, वेबकैम, AV गणना, नेटवर्क प्रोब) का गहन विश्लेषण
  • पृथक वातावरण में बिल्डर विश्लेषण (v2.6)
  • OSINT-समर्थित टूलचेन लिंकेज विश्लेषण

---

TL;DR (उन लोगों के लिए जो "बस मुद्दा चाहते हैं")

• DesckVB RAT इसलिए दिलचस्प नहीं है क्योंकि यह नया है, बल्कि इसलिए कि यह स्थिर, मॉड्यूलर और संचालनात्मक रूप से परिपक्व है।
• प्लगइन-आधारित आर्किटेक्चर हमलावरों को समझौता होने के बाद चुनिंदा क्षमताओं को तैनात करने की अनुमति देता है।
• निष्क्रिय C2 बुनियादी ढांचे के साथ भी, ऐतिहासिक PCAP डेटा विश्वसनीय रूप से पुनर्निर्माण सक्षम करता है:
  • प्रोटोकॉल संरचना
  • कमांड शब्दार्थ
  • प्लगइन वितरण तंत्र
• प्लगइन्स, मेटाडेटा और बिल्ड पथों में "Pjoao1578" के बार-बार संदर्भ साझा टूलचेन / बिल्ड वातावरण लिंकेज का मजबूत समर्थन करते हैं (अंध विशेषता निर्धारण नहीं)।

---

🔗 देखी गई किल चेन (उच्च स्तर)

चरण 1 – WSH JavaScript

• भारी स्ट्रिंग अस्पष्टीकरण
• C:\Users\Public\ में स्व-प्रतिलिपि
• wscript.exe //nologo के माध्यम से पुनर्लॉन्च
• PowerShell पेलोड (Base64) का गतिशील पुनर्निर्माण

चरण 2/3 – PowerShell

• रनटाइम पेलोड पुनर्निर्माण
• कनेक्टिविटी जांच (Google डोमेन)
• एंटी-विश्लेषण तर्क (प्रक्रिया/डीबगर जांच)
• दशमलव-एन्कोडेड पेलोड चंक्स का डाउनलोड
• .NET असेंबली का मेमोरी में पुनर्निर्माण

चरण 4 – .NET लोडर (फ़ाइललेस)

• परावर्तक आह्वान के साथ Assembly.Load()
• पर्यावरण जांच द्वारा नियंत्रित निष्पादन
• आराम पर कोई ड्रॉप्ड PE नहीं

चरण 5 – DesckVB RAT v2.9.0.0

• कॉन्फ़िगरेशन का रनटाइम डिक्रिप्शन:
  • C2 पता और पोर्ट
  • म्यूटेक्स
  • क्षमता फ्लैग
  • C2 प्रमाणीकरण पासवर्ड
• पुन: कनेक्ट लूप के साथ लगातार TCP बीकनिंग
• लाइव विश्लेषण के दौरान C2 निष्क्रिय (RST) देखा गया

---

📡 C2 प्रोटोकॉल और प्लगइन वितरण

ऐतिहासिक PCAP डेटा से पुनर्निर्मित:

• प्लगइन निष्पादन कमांड: RunBlugin||<BASE64_ENCODED_DLL>
• सुसंगत प्रोटोकॉल तत्व:
• क्षेत्र विभाजक: ||
• संदेश टर्मिनेटर (कई प्लगइन्स द्वारा उपयोग किया जाता है): #Sucess#

यह प्रोटोकॉल स्थिरता नेटवर्क-स्तरीय पहचान और शिकार के लिए महत्वपूर्ण है, भले ही बुनियादी ढांचा बदल जाए।

---

🧩 विश्लेषित प्लगइन्स (अवलोकन)

• DetectarAntivirus.dll

• स्थापित सुरक्षा उत्पादों की गणना करता है

• परिणाम C2 को वापस भेजता है

• Keylogger.dll

• निम्न-स्तरीय कीबोर्ड हुक (SetWindowsHookEx)

• सक्रिय विंडो ट्रैकिंग

• क्लिपबोर्ड अवरोधन

• कस्टम TCP प्रोटोकॉल के माध्यम से बहिर्वहन

• Webcam.dll

• DirectShow (AForge) का उपयोग करता है

• Cam|| उपसर्ग वाले JPEG फ्रेम स्ट्रीम करता है

• रजिस्ट्री कुंजी के माध्यम से कैमरा LED को दबाने का प्रयास करता है (प्रभाव OEM/ड्राइवर पर निर्भर करता है)

• Ping_Net.dll

• ICMP RTT प्रोब (डिफ़ॉल्ट: www.google.com.br)

• वैकल्पिक mapa कमांड हमलावर द्वारा आपूर्ति किए गए URL का HTTP(S) फ़ेच करता है

---

🧪 बिल्डर (v2.6) सत्यापन

DesckVB RAT बिल्डर (v2.6) का एक क्रैक किया गया संस्करण पूरी तरह से पृथक प्रयोगशाला वातावरण में निष्पादित किया गया था ताकि तुलना की जा सके:

• कॉन्फ़िगरेशन संरचना
• प्लगइन नामकरण और लेआउट
• प्रोटोकॉल शब्दार्थ
• संस्करण नियम

बिल्डर आउटपुट और लाइव नमूनों के बीच ओवरलैप संस्करणों में मजबूत निरंतरता दिखाता है, जो इकोसिस्टम-स्तरीय क्लस्टरिंग का समर्थन करता है।

---

🕵️ "Pjoao1578" से टूलचेन लिंकेज

पहचानकर्ता "Pjoao1578" बार-बार और स्वतंत्र रूप से दिखाई देता है:

• कई प्लगइन्स में CompanyName मेटाडेटा
  (Pjoao1578Developer)
• डिबग पथ जैसे: ...\DesckVB Rat\V2.9.0.0\DLL\Blugin Stub\
• संबंधित लोडर और टूलिंग से संबंधित पिछली सार्वजनिक रिपोर्टिंग

सही निष्कर्ष

• साझा टूलचेन / बिल्ड वातावरण / ब्रांडिंग के मजबूत साक्ष्य
• खतरा क्लस्टरिंग और शिकार के लिए उपयोगी
• निश्चित व्यक्तिगत विशेषता निर्धारण के लिए पर्याप्त नहीं

रिपोर्ट जानबूझकर अति-विशेषता से बचती है और इन संकेतकों को उचित विश्लेषणात्मक कठोरता के साथ मानती है।

---

🧾 समझौता संकेतक (अंश)

पूर्ण तालिकाएँ रिपोर्ट परिशिष्ट में उपलब्ध हैं।

C2

• manikandan83[.]mysynology[.]net:7535

स्टेजिंग URL (उदाहरण)

• hxxps://andrefelipedonascime1768785037020[.]1552093[.]meusitehostgator[.]com[.]br/.../01.txt
• .../02.txt
• .../03.txt
• .../PeYes

SHA256 (उदाहरण)

• चरण 1 JS: 9d9cfe5b31a3b020e3c65d440d8355e33f7c056b087ec6aba3093ae1a099ac0
• PowerShell: 347621f7a3392939d9bdbe8a6c9fda30ba9d3f23cb6733484da8e2993772b7f3
• लोडर: a675f5a396de1fa732a9d83993884b397f02921bbcf34346fbed32c8f4053064
• RAT: affb29980bc9564f1b03fe977e9ca5c7adf254656d639632c4d14e34aa4fdff6
• वेबकैम प्लगइन: ff051dde71487ea459899920ef7014dad8eee4df308eb360555f3e22232c9367

---

🛡️ पहचान और शिकार मार्गदर्शन

एंडपॉइंट सिग्नल

• अस्पष्ट WSH JavaScript C:\Users\Public\ पर कॉपी किया गया
• wscript.exe //nologo के माध्यम से निष्पादन
• PowerShell दशमलव बाइट सरणी + Assembly.Load() का निर्माण करता है
• म्यूटेक्स: nozgrb6ev4t4c7sc2hz7iwnnmmwahj54
• प्रक्रिया मास्करेडिंग (Update.exe, Microsoft निर्देशिकाएँ)

नेटवर्क सिग्नल

• बीकन प्रारूप जिसमें शामिल है: Desk||<machine>||<user>||<locale>||2.9.0.0||
• RunBlugin|| के माध्यम से प्लगइन वितरण
• स्थिर विभाजक || और टर्मिनेटर #Sucess#

---

📚 पद्धति

• स्थैतिक विश्लेषण (स्ट्रिंग्स, IL, मेटाडेटा)
• पृथक प्रयोगशाला में गतिशील निष्पादन
• ऐतिहासिक PCAP का उपयोग करके नेटवर्क ट्रैफ़िक पुनर्निर्माण
• संरचनात्मक तुलना के लिए बिल्डर निष्पादन

---

⚠️ अस्वीकरण

यह शोध केवल रक्षात्मक और विश्लेषणात्मक उद्देश्यों के लिए प्रकाशित किया गया है।

• कोई दुर्भावनापूर्ण बाइनरी वितरित नहीं की जाती
• संकेतक समय के साथ पुन: उपयोग या क्षय हो सकते हैं
• विशेषता निर्धारण को रूढ़िवादी रूप से संभाला जाता है:
• साक्ष्य टूलचेन लिंकेज और क्लस्टरिंग का समर्थन करते हैं
• किसी व्यक्तिगत ऑपरेटर की निश्चित पहचान नहीं

---

📎 उद्धरण

यदि आप इस शोध का संदर्भ या पुन: उपयोग करते हैं, तो कृपया लिंक करें:

• यह रिपॉजिटरी
• पूर्ण PDF रिपोर्ट
• लेखक का X खाता (@ShadowOpCode)