Asyncrat-Venom-Dcrat-Config-Extractor

Asyncrat/Dcrat/VenomRat용 정적 구성 추출기

dnlib를 사용하여 암호화된 구성(Config) 데이터 및 관련 암호화 값을 찾습니다. 값은 맬웨어 코드를 에뮬레이션하거나 실행하지 않고 스크립트에서 해독됩니다.

• 구성이 Client.Settings 클래스 아래에 있다고 가정합니다.
• Config가 base64로 인코딩되고 AES256으로 암호화되어 있다고 가정합니다.
• 파일의 대부분이 난독화되어 있지 않다고 가정합니다.
• Aes256 Salt가 바이트 배열(asyncrat) 또는 단순 문자열(venom/dcrat)로 저장되어 있다고 가정합니다.
• 바이트 배열 추출 코드는 OALabs/StormKitty의 코드를 수정한 버전입니다 (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

예제

asyncrat-config-extractor.py asyncrat.bin

샘플

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc
• Venom: 2941774e26232818b739deff45e59a32247a4a5c8d1d4e4aca517a6f5ed5055f
• Dcrat: ed7cd05b950c11d49a3a36f6fe35e672e088499a91f7263740ee8b79f74224e9

출력

원본 암호화된 값