Asyncrat-Venom-Dcrat-Config-Extractor

Asyncrat/Dcrat/VenomRat 的静态配置提取器

利用 dnlib 定位加密的配置数据及相关的加密值。 脚本在不模拟或执行恶意代码的情况下解密这些值。

• 假定配置位于 Client.Settings 类下
• 假定配置是 base64 编码并使用 AES256 加密
• 假定文件大部分内容未经过混淆
• 假定 Aes256 Salt 以字节数组 (asyncrat) 或简单字符串 (venom/dcrat) 的形式存储
• 用于提取字节数组的代码是 OALabs/StormKitty 代码的修改版本 (https://research.openanalysis.net/dot%20net/static%20analysis/stormkitty/dnlib/python/research/2021/07/14/dot_net_static_analysis.html)

示例

asyncrat-config-extractor.py asyncrat.bin

样本

• Asyncrat: 4b63a22def3589977211ff8749091f61d446df02cfc07066b78d3302c034b0cc
• Venom: 2941774e26232818b739deff45e59a32247a4a5c8d1d4e4aca517a6f5ed5055f
• Dcrat: ed7cd05b950c11d49a3a36f6fe35e672e088499a91f7263740ee8b79f74224e9

输出

原始加密值