Manuel Statik Analiz — QuasarRAT (XRat) | Tehdit: YUKSEK
Archivo Kimliği
| SHA256 | ef19d077de5b50ab660992b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Nombre de archivo | starkbucks.exe ("Starbucks" tiposquatting!) |
| Tamaño | 660.992 byte (.NET C#) |
| String Sayisi | 3.519 |
Starbucks Tiposquatting
Kamuflaj: "stark-bucks" → Starbucks'a benzer isim. İnsan gözüne ilk bakışta meşru görünüyor!
starkbucks.exe -- "Stark" + "bucks" = "Starbucks" visual confusaion -- Finans/para konusuyla ilgili lure -- Meşru Starbucks uygulaması gibi görünüyor
Coğrafi Konum Tespiti
https://freegeoip.net/xml/ -- Kurbanın IP → ülke/şehir bilgisi alınıyor -- Hedefli ülkelere seçici enfeksiyon (sandbox atlatma) -- freegeoip.net = ücretsiz IP geolocation API
AES Şifreleme
encryptionEnabled = true CreateEncryptor -- AES şifreleme başlat CreateDecryptor -- AES çözme
Bitcoin Cüzdanları
1AUY3PgS4r3UDo4iWXF1yB13xrq9 3KWcAMq2iQjetBTpn9rMLCBpbmIMPVL4
IOC
| SHA256 | ef19d077de5b50ab660992b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Kamuflaj | starkbucks.exe (Starbucks tiposquat) |
| Geo | freegeoip.net/xml/ (coğrafi kontrol) |
| BTC | 1AUY3PgS4r3UDo4iWXF1yB13xrq9 |
XRat — Perfil del malware
QuasarRAT/XRat .NET C# 2014. starkbucks.exe tiposquatting. freegeoip.net geo-check. AES.
Tipo de malware
RAT
Lenguaje de programación
C#/.NET
Protocolo C2
TCP
Sistemas objetivo
Kuresel
Capacidades y comportamiento
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Lista IOC (2 indicadores)
IOC — XRat
# DOMAIN
freegeoip.net
# MUTEX
1AUY3PgS4r3UDo4iWXF1yB13xrq9
| Tipo | Valor | Nota |
|---|---|---|
| domain | freegeoip.net | |
| mutex | 1AUY3PgS4r3UDo4iWXF1yB13xrq9 | BTC cüzdanı |