Asyncrat-Venom-Dcrat-Config-Extractor

Asyncrat/Dcrat/VenomRat 用の静的 Config 抽出器

dnlib を使用して、暗号化された Config データと関連する暗号化値を特定します。 値はマルウェアコードをエミュレートまたは実行することなく、スクリプト内で復号化されます。

• 設定が Client.Settings クラスの下にあることを前提とします
• 設定が base64 でエンコードされ、AES256 で暗号化されていることを前提とします
• ファイルの大部分がほぼ難読化されていないことを前提とします
• Aes256 Salt がバイト配列 (asyncrat) または単純な文字列 (venom/dcrat) として保存されていることを前提とします
• バイト配列を抽出するコードは、OALabs/StormKitty のコードを修正したバージョンです (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

使用例

asyncrat-config-extractor.py asyncrat.bin

サンプル

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc
• Venom: 2941774e26232818b739deff45e59a32247a4a5c8d1d4e4aca517a6f5ed5055f
• Dcrat: ed7cd05b950c11d49a3a36f6fe35e672e088499a91f7263740ee8b79f74224e9

出力

元の暗号化値