DCRat -- sostener1.vbs İspanyolca VBScript Dropper, geutqmonpmjthuux.Ru DGA C2 | Yüksek

Manuel Statik Analiz — DCRat (DarkCrystal) | Tehdit: YUKSEK

Fichier Kimliği

SHA256	`71c79c58dc14cf56103153b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Nom du fichier	sostener1.vbs
Taille	1.031.536 byte (1MB VBScript)
String Sayisi	777

İspanyolca VBScript Dropper

sostener1.vbs
-- "sostener" = İspanyolca "tutmak/sürdürmek/desteklemek"
-- ".vbs" = Windows Script Host (WSH) VBScript
-- "1" = birden fazla dropper dosyası (sostener1, sostener2...)
-- LATAM (Latin Amerika) bölgesini hedef alıyor
-- VBScript → PE payload drop eder ve çalıştırır

DGA Benzeri C2: geutqmonpmjthuux.Ru

C2 Tespit: 15 karakterli rastgele domain + .Ru TLD!

geutqmonpmjthuux.Ru
-- "geutqmonpmjthuux" = 16 karakter rastgele harf (DGA benzeri)
-- .Ru = Rusya TLD (DCRat'ın Rusya kaynaklı olduğunu destekliyor)
-- DGA pattern: g-e-u-t-q-m-o-n-p-m-j-t-h-u-u-x (sözlük dışı)
-- Rastgele görünüm = takibi zorlaştırma amacıyla
-- DCRat genellikle .ru TLD üzerinde sabit C2 kullanır (DGA değil ama görünüşte öyle)

DCRat Hakkında

DCRat (DarkCrystal RAT), 2019'da Rus yeraltı forumlarında satışa çıkan modüler bir RAT'tır. Plugin sistemiyle keylogger, webcam erişimi, credential hırsızlığı, DDoS gibi özellikler eklenebilir. 2022-2023'te düşük fiyatıyla (yaklaşık 5$) popüler hale geldi. VBScript droppers + PowerShell stage chain kullanır. "sostener" İspanyolcası LATAM hedeflemeye işaret ediyor.

IOC

SHA256	`71c79c58dc14cf56103153b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
C2	geutqmonpmjthuux.ru
Dropper	sostener1.vbs (İspanyolca LATAM lure)

DCRat2 — Profil du malware

DCRat DarkCrystal RAT 2019 Rus underground. Plugin tabanlı modüler. VBScript dropper. .Ru TLD C2. sostener LATAM hedefleme.

Type de malware

RAT

Langage de programmation

C#/.NET

Protocole C2

TCP/HTTP

Systèmes ciblés

Küresel

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — DCRat2

# DOMAIN
geutqmonpmjthuux.ru

Type	Valeur	Note
domain	geutqmonpmjthuux.ru

DCRat2 — Voir le profil complet →

Serveurs C2 (1 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
geutqmonpmjthuux.ru	domain	443	HTTP	inactive	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.