小白病毒分析学习之QuasarRAT分析

mortalboold · 发表于 2020-3-31 00:02

本帖最后由 mortalboold 于 2020-3-31 00:06 编辑

报告名称：QuasarRAT详细分析报告
作者：mo4ta1
报告更新日期：2020-03-30
样本类型：QuasarRAT家族远控
样本文件大小：348kb
样本文件MD5 校验值： d059a264af31c72def4f1ae47898e422
壳信息：.net 混淆
可能受到威胁的系统：windows
简介:
该样本是开源木马Quasars RAT,是一款具有下载执行，信息窃取，键盘记录等全功能的远控木马。
网络症状
ip-api.com collinserver.ddns.net
文件系统变化
创建C:\Windows\System32\dllcheck\dllcheck.exe
持久化
通过创建任务在有用户登陆的情况下执行dllcheck.exe
详细分析／功能介绍
样本运行后首先通过解密函数解密大量配置，包括释放文件名，cc域名等信息

之后创建互斥，保证样本只有实例运行

判断当前进程路径是否为C:\Windows\System32\dllcheck\dllcheck.exe

若不是该路径，则将样本拷贝到C:\Windows\System32\dllcheck\dllcheck.exe，执行dllcheck.exe，结束当前进程

访问http://ip-api.com/json获取当前受害者ip,以及ip所在地区等信息

判断当前进程权限是否为admin，若是则设置计划任务，将dllcheck.exe设置到计划任务实现持久化。若不是，则将dllcheck.exe设置到注册表Software\\Microsoft\\Windows\\CurrentVersion\\Run实现自启动

设置成功的计划任务信息如下

做完这些前期准备后，样本将创建一个keylogger线程进行键盘记录,并以html的形式记录键盘数据

最后样本将于c2进行通信，先获取受害者计算机机器名，用户名，杀毒软件产品等信息加密处理

将密后的数据发送到c接受c2返回命令

并根据不同命令执行相应的功能

该样本具有以下功能

任务管理器
文件管理器
启动进程
远程桌面
远程shell
下载执行
上传执行
系统信息
计算机命令（重新启动，关机，待机）
键盘记录器
反向代{过}{滤}理（SOCKS5）
窃取密码
注册表编辑

chenjingyes · 发表于 2020-3-31 01:40

谢谢楼主分享

你与明日 · 发表于 2020-3-31 06:27

真就有人拿C#写木马....

雨落惊鸿， · 发表于 2020-3-31 07:53

厉害啊。。。

x123355492 · 发表于 2020-3-31 08:08

感谢分享感谢

冰雪冬樱250 · 发表于 2020-3-31 08:55

感谢楼主分享

raykeyor · 发表于 2020-3-31 09:15

感谢分享

uhxdDGjohs · 发表于 2020-3-31 10:08

希望分享手动查杀教程

cptw · 发表于 2020-3-31 12:41

感谢楼主分享

处女-大龙猫 · 发表于 2020-3-31 18:14

我也想当大佬, 真难,

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 小白病毒分析学习之QuasarRAT分析

免费评分