DCRat2 -- sostener1.vbs İspanyolca VBScript, Base64 PowerShell ExecutionPolicy Bypass $MMemu, DGA geutqmonpmjthuux.ru | Yüksek

Manuel Statik Analiz — DCRat VBScript Yükleyici | Tehdit: YUKSEK

Fichier Kimliği

SHA256	`71c79c58dc14cf56777b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0000`
Nom du fichier	sostener1.vbs (İspanyolca: "desteklemek/tutmak")
String Sayisi	777

sostener1.vbs: İspanyolca VBScript Lürü

sostener1.vbs
-- "sostener" = İspanyolca: tutmak, desteklemek, sürdürmek
-- ".vbs" = Windows Script Host VBScript
-- İspanyolca konuşulan ülkelere yönelik saldırı
-- E-posta eki: "sostener1.vbs" = belge numarası gibi görünür

Base64 PowerShell Execution Policy Bypass

BYPASS: Base64 gizlenmiş PowerShell komutu!

tZm9yY2UgO3Bvd2Vyc2hlbGwgLUV4ZWN1dGlvblBvbGljeSBCeXBhc3MgLUZpbGUgJE1NZW1VIDs=
-- Base64 çözümü:
-- "...force ;powershell -ExecutionPolicy Bypass -File $MMemu ;"
-- "ExecutionPolicy Bypass" = PS yürütme politikasını atla!
-- "-File $MMemu" = $MMemu değişkenindeki dosyayı çalıştır
-- "$MMemu" = bellekte/temp'te DCRat payload yolu
-- VBScript: Base64 gizle → PowerShell çağır → Policy atla → RAT yükle

DGA Benzeri C2 Domain

geutqmonpmjthuux.ru
-- 16 karakter rastgele düşük karakter → DGA (Domain Generation Algorithm)
-- ".ru" TLD = Rusya kayıtlı
-- DCRat: Rusça geliştirme + .ru C2 altyapısı
-- DGA: her sürümde farklı domain → takip ve engelleme zorlaştırır

IOC

SHA256	`71c79c58dc14cf56777b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0000`
C2	geutqmonpmjthuux.ru (DGA)
Bypass	PowerShell ExecutionPolicy Bypass via Base64

DCRat — Profil du malware

DCRat Rusça RAT. sostener1.vbs VBScript dropper. PowerShell ExecutionPolicy Bypass. geutqmonpmjthuux.ru DGA C2.

Type de malware

RAT

Langage de programmation

C#/.NET

Protocole C2

HTTP

Systèmes ciblés

Windows

Aussi connu sous (AKA)

DarkCrystal

Détails techniques

.NET C#, AES-128-CBC sifreleme, plugin mimarisi (DLLler), TCP varsayilan port 5552, SQLite lokal depolama, Anti-VM/Sandbox (Process check, Registry), Loader, Stealer, RAT modulleri ayri

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — DCRat

# SHA256
71c79c58dc14cf56777b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0000

Type	Valeur	Note
sha256	71c79c58dc14cf56777b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0000

DCRat — Voir le profil complet →

Serveurs C2 (8 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
microsoft.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
crypto.io	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.