immersive-labs-sec/bruteratel-detectiontoolsBrute Ratel C4 badgers 디코딩을 위한 도구 및 규칙 모음
Brute Ratel C4 badger를 디코딩하기 위한 도구 및 규칙 모음
모든 도구와 규칙은 PaloAlto가 보고서 https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/ 에서 식별한 샘플을 기반으로 합니다.
이 Yara 규칙은 Unit42 보고서에 포함된 샘플과 이 규칙으로 추가로 식별된 샘플을 대상으로 테스트되었습니다.
❯ yara rule.yar
BruteRatel ./hacker.exe
BruteRatel ./badger_x64.exe
BruteRatel ./trustwave.exe
BruteRatel ./adi_badger_x64_2.exe
BruteRatel ./npser.exe
BruteRatel ./twitter.exe
BruteRatel ./X64 Brute Ratel C4 Windows Kernel Module.bin
BruteRatel ./sample2.exe
BruteRatel ./HorionInjector.exe
BruteRatel ./http_badger_x64.exe
BruteRatel ./sample1.exe
Config 디코더는 Unit42 보고서에서 식별된 샘플과 위 Yara 규칙을 사용하여 찾은 추가 샘플을 대상으로 테스트되었습니다.
현재까지 샘플에서는 단 하나의 정적 키(static Key)만 관찰되었습니다.
❯ python3 decoder.py sample1.exe
[+] Brute Ratel C4 Config Extractor by Immersive Labs
[+] Reading contents of file "sample1.exe"
[-] Config Pattern Detected
[-] May be encrypted testing key b'bYXJm/3#M?:XyMBF'
[+] Printing config to screen
||0|1|192.168.2.9|443|Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.93 Safari/537.36|12345|P@ssw0rd|/admin||