Asyncrat-Venom-Dcrat-Config-Extractor

Estrattore statico di configurazione per Asyncrat/Dcrat/VenomRat

Utilizza dnlib per individuare i dati di configurazione crittografati e i valori di crittografia associati. I valori vengono decrittografati nello script senza emulare o eseguire codice malware

• Presuppone che la configurazione risieda nella classe Client.Settings
• Presuppone che la Config sia codificata in base64 e crittografata con AES256.
• Presuppone che la maggior parte del file sia in gran parte non offuscata
• Presuppone che il Salt Aes256 sia memorizzato come array di byte (asyncrat) o come semplice stringa (venom/dcrat)
• Il codice per l'estrazione dell'array di byte è una versione modificata del codice di OALabs/StormKitty (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

Esempio

asyncrat-config-extractor.py asyncrat.bin

Campioni

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc