DesckVB RAT (v2.9) — モジュラー .NET RAT、多段階配信 & プラグインエコシステム

“Pjoao1578” へのツールチェーン関連性

作者: ShadowOpCode
X/Twitter: https://x.com/ShadowOpCode

このリポジトリは、DesckVB RAT（2026年初頭の実際のキャンペーンで観測されたモジュラー .NET リモートアクセス型トロイの木馬）を中心としたアクティブなマルウェアエコシステムを文書化した、完全な技術レポートに付随するものです。

分析では、最初のJavaScript配信からメモリ内実行、C2通信、オンデマンドプラグイン展開に至るまでの感染ライフサイクル全体を再構築しています。

⚠️ このリポジトリは悪意のあるバイナリを配布しません。
研究資料、侵害指標、防御的洞察のみを含みます。

📄 レポート

PDF: DesckVB_RAT.pdf
主なトピック:
- 多段階感染チェーン (WSH JavaScript → PowerShell → .NET ローダー → RAT)
- C2設定の実行時復号 (ホスト, ポート, ミューテックス, フラグ)
- 過去のPCAPデータを使用したカスタムTCP C2プロトコルの復元
- モジュラープラグインの詳細分析 (キーロガー, ウェブカム, AV列挙, ネットワークプローブ)
- 隔離環境でのビルダー分析 (v2.6)
- OSINT支援によるツールチェーン関連性分析

TL;DR (要点だけ知りたい方向け)

DesckVB RATは新しいから興味深いのではなく、安定していて、モジュール式で、運用上成熟しているから興味深い。
プラグインベースのアーキテクチャにより、攻撃者は侵害後に能力を選択的に展開できる。
C2インフラが非アクティブでも、過去のPCAPデータにより以下を確実に復元可能:
- プロトコル構造
- コマンドセマンティクス
- プラグイン配信メカニズム
プラグイン、メタデータ、ビルドパス全体における “Pjoao1578” への繰り返しの言及は、共有ツールチェーン/ビルド環境リンケージ（盲目的な属性特定ではない）を強く支持する。

🔗 観察されたキルチェーン (高レベル)

ステージ1 – WSH JavaScript

文字列の強度難読化
C:\Users\Public\ への自己コピー
wscript.exe //nologo による再起動
PowerShellペイロード (Base64) の動的復元

ステージ2/3 – PowerShell

ペイロードの実行時再構築
接続確認 (Googleドメイン)
解析対策ロジック (プロセス/デバッガチェック)
10進エンコードされたペイロードチャンクのダウンロード
.NETアセンブリのメモリ内再構築

ステージ4 – .NET ローダー (ファイルレス)

Assembly.Load() によるリフレクティブ呼び出し
環境チェックによる実行制限
ディスク上にPEファイルはドロップされない

ステージ5 – DesckVB RAT v2.9.0.0

設定の実行時復号:
- C2アドレスとポート
- ミューテックス
- 機能フラグ
- C2認証パスワード
再接続ループを伴う永続的なTCPビーコン送信
ライブ解析中にC2は非アクティブ (RST) と観測

📡 C2プロトコル & プラグイン配信

過去のPCAPデータから復元:

プラグイン実行コマンド: RunBlugin||<BASE64_ENCODED_DLL>
一貫したプロトコル要素:
- フィールド区切り: ||
- メッセージ終端記号 (複数のプラグインで使用): #Sucess#

このプロトコルの一貫性は、インフラが変わってもネットワークレベルの検出とハンティングにとって重要である。

🧩 分析済みプラグイン (概要)

DetectarAntivirus.dll
- インストールされたセキュリティ製品を列挙
- 結果をC2に送信
Keylogger.dll
- 低レベルキーボードフック (SetWindowsHookEx)
- アクティブウィンドウ追跡
- クリップボード傍受
- カスタムTCPプロトコルによる漏洩
Webcam.dll
- DirectShow (AForge) を使用
- Cam|| を前置したJPEGフレームをストリーム
- レジストリキーを介してカメラLEDを抑制しようとする (効果はOEM/ドライバに依存)
Ping_Net.dll
- ICMP RTTプローブ (デフォルト: www.google.com.br)
- オプションの mapa コマンドは攻撃者が指定したURLのHTTP(S)フェッチを実行

🧪 ビルダー (v2.6) 検証

DesckVB RATビルダー (v2.6) のクラック版が完全に隔離された実験環境で実行され、以下の比較が行われた:

設定構造
プラグインの命名とレイアウト
プロトコルセマンティクス
バージョン管理規則

ビルダー出力とライブサンプル間の重複は、バージョン間の強力な継続性を示し、エコシステムレベルのクラスタリングを裏付けている。

🕵️ “Pjoao1578” へのツールチェーン関連性

識別子 “Pjoao1578” は以下の全体で繰り返し独立して出現する:

複数のプラグインの CompanyName メタデータ (Pjoao1578Developer)
以下のようなデバッグパス: ...\DesckVB Rat\V2.9.0.0\DLL\Blugin Stub\
関連ローダーやツールに関連した以前の公開レポート

正しい結論

共有ツールチェーン/ビルド環境/ブランディングの強力な証拠
脅威クラスタリングとハンティングに有用
決定的な個人属性特定には不十分

レポートは意図的に過剰な属性特定を避け、これらの指標を適切な分析厳格性で扱っている。

🧾 侵害指標 (抜粋)

完全な表はレポート付録にあります。

C2

manikandan83[.]mysynology[.]net:7535

ステージングURL (例)

hxxps://andrefelipedonascime1768785037020[.]1552093[.]meusitehostgator[.]com[.]br/.../01.txt
.../02.txt
.../03.txt
.../PeYes

SHA256 (例)

Stage 1 JS: 9d9cfe5b31a3b020e3c65d440d8355e33f7c056b087ec6aba3093ae1a099ac0
PowerShell: 347621f7a3392939d9bdbe8a6c9fda30ba9d3f23cb6733484da8e2993772b7f3
Loader: a675f5a396de1fa732a9d83993884b397f02921bbcf34346fbed32c8f4053064
RAT: affb29980bc9564f1b03fe977e9ca5c7adf254656d639632c4d14e34aa4fdff6
Webcam plugin: ff051dde71487ea459899920ef7014dad8eee4df308eb360555f3e22232c9367

🛡️ 検出とハンティングガイダンス

エンドポイントシグナル

難読化されたWSH JavaScriptが C:\Users\Public\ にコピーされる
wscript.exe //nologo による実行
PowerShellによる10進バイト配列の構築 + Assembly.Load()
ミューテックス: nozgrb6ev4t4c7sc2hz7iwnnmmwahj54
プロセスの偽装 (Update.exe, Microsoft ディレクトリ)

ネットワークシグナル

以下を含むビーコンフォーマット: Desk||<machine>||<user>||<locale>||2.9.0.0||
RunBlugin|| によるプラグイン配信
安定した区切り文字 || と終端記号 #Sucess#

📚 方法論

静的解析 (文字列, IL, メタデータ)
隔離ラボでの動的実行
過去のPCAPを使用したネットワークトラフィック復元
構造比較のためのビルダー実行

⚠️ 免責事項

この研究は防御および分析目的のみで公開されています。

悪意のあるバイナリは配布されていません
指標は再利用されたり、時間とともに劣化する可能性があります
属性特定は慎重に扱われています:
- 証拠はツールチェーンリンケージとクラスタリングを支持する
- 個々のオペレーターの決定的な特定ではない

📎 引用

この研究を参照または再利用する場合は、以下にリンクしてください:

このリポジトリ
完全なPDFレポート
著者のXアカウント (@ShadowOpCode)

人気

DesckVB-RAT