DCRat (Dark Crystal RAT) — DcRatByqwqdanchun Gelistirici Imzasi, MutexControl, .NET v4.0 | Kritik

Manuel Statik Analiz (LLM Okumali) — DCRat (Dark Crystal RAT) | Tehdit: KRITIK

Arquivo Kimligi

SHA256	`7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14`
Orijinal Ad	Client.exe
Dil	.NET Framework 4.0
Versiyon	1.0.7.0

Gelistirici Imzasi

Kritik String Tespiti: Binary icerisinde gelistiricinin takim adi olan DcRatByqwqdanchun cleartext olarak bulunmaktadir. Bu, DCRat ailesi icin kesin teyit saglar.

DcRatByqwqdanchun    <-- Gelistirici imzasi (cleartext)
MutexControl         <-- Mutex adi
$29840822-5B84-11D0-BD3B-00A0C911CE86   <-- GUID

DCRat Hakkinda

DCRat (Dark Crystal RAT), qwqdanchun takma adli bir gelistirici tarafindan 2019 yilinda ortaya cikan ve Russian RuTOR forumunda dusuk maliyetle satilan bir .NET RATdir. Rusya kokenli underground gelistirme surecinin nadir bir ornegi olan DCRat, moduler mimarisiyle dikkat ceker.

DCRat Yetenekleri

Modul	Yetenek
Temel RAT	Uzak kabuk, dosya yonetimi, surec yonetimi
Keylogger	Tus kaydi ve ekran goruntusu
Stealer	Tarayici sifreleri, Discord token, Telegram
Clipper	Kripto cuzdan adresi degistirme
Ransomware	Secilebilir modul (nadiren kullanilir)
HVNC	Gizli uzak masaustu

MB Etiketi Yanilticiligi

Bu ornek MalwareBazaar tarafindan AsyncRAT olarak etiketlenmistir. Ancak binary icindeki DcRatByqwqdanchun dizisi, bu orneklerin DCRat olduğunu kesin sekilde ortaya koymaktadir. DCRat, AsyncRAT kod tabanini fork alarak gelistirildiginden otomatik analiz sistemleri zaman zaman yanlis etiketleyebilir.

IOC

SHA256	`7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14`
Gelistirici	qwqdanchun
Mutex	MutexControl
Versiyon	1.0.7.0
GUID	$29840822-5B84-11D0-BD3B-00A0C911CE86
C2	Sifrelenmis TCP (dinamik analiz gerekli)

DCRat — Perfil do malware

DCRat Rusça RAT. sostener1.vbs VBScript dropper. PowerShell ExecutionPolicy Bypass. geutqmonpmjthuux.ru DGA C2.

Tipo de malware

RAT

Linguagem de programação

C#/.NET

Protocolo C2

HTTP

Sistemas-alvo

Windows

Também conhecido como (AKA)

DarkCrystal

Detalhes técnicos

.NET C#, AES-128-CBC sifreleme, plugin mimarisi (DLLler), TCP varsayilan port 5552, SQLite lokal depolama, Anti-VM/Sandbox (Process check, Registry), Loader, Stealer, RAT modulleri ayri

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — DCRat

# SHA256
7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14

Tipo	Valor	Nota
sha256	7b8787d64d8a0349bb302fca1a76267de0d22e5a2c1b3f4a8d9e6c7b0f2e3d14

DCRat — Ver perfil completo →

Servidores C2 (8 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
microsoft.com	domain	—	TCP	active	—
digicert.com	domain	—	TCP	active	—
crypto.io	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—
microsoft.com	domain	—	TCP	active	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.