Asyncrat-Venom-Dcrat-Config-Extractor

Extrator Estático de Config para Asyncrat/Dcrat/VenomRat

Utiliza dnlib para localizar dados de Config criptografados e valores de criptografia associados. Os valores são descriptografados no script sem emular ou executar código de malware

• Assume que a config está sob a classe Client.Settings
• Assume que a Config é codificada em base64 e criptografada com AES256.
• Assume que a maior parte do arquivo está em grande parte não ofuscada
• Assume que o Salt AES256 é armazenado como um array de bytes (asyncrat) ou uma string simples (venom/dcrat)
• O código para extrair o array de bytes é uma versão modificada do código de OALabs/StormKitty (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

Exemplo

asyncrat-config-extractor.py asyncrat.bin

Amostras

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc