DCRat -- sostener1.vbs İspanyolca VBScript Dropper, geutqmonpmjthuux.Ru DGA C2 | Yüksek

Manuel Statik Analiz — DCRat (DarkCrystal) | Tehdit: YUKSEK

Arquivo Kimliği

SHA256	`71c79c58dc14cf56103153b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Nome do arquivo	sostener1.vbs
Tamanho	1.031.536 byte (1MB VBScript)
String Sayisi	777

İspanyolca VBScript Dropper

sostener1.vbs
-- "sostener" = İspanyolca "tutmak/sürdürmek/desteklemek"
-- ".vbs" = Windows Script Host (WSH) VBScript
-- "1" = birden fazla dropper dosyası (sostener1, sostener2...)
-- LATAM (Latin Amerika) bölgesini hedef alıyor
-- VBScript → PE payload drop eder ve çalıştırır

DGA Benzeri C2: geutqmonpmjthuux.Ru

C2 Tespit: 15 karakterli rastgele domain + .Ru TLD!

geutqmonpmjthuux.Ru
-- "geutqmonpmjthuux" = 16 karakter rastgele harf (DGA benzeri)
-- .Ru = Rusya TLD (DCRat'ın Rusya kaynaklı olduğunu destekliyor)
-- DGA pattern: g-e-u-t-q-m-o-n-p-m-j-t-h-u-u-x (sözlük dışı)
-- Rastgele görünüm = takibi zorlaştırma amacıyla
-- DCRat genellikle .ru TLD üzerinde sabit C2 kullanır (DGA değil ama görünüşte öyle)

DCRat Hakkında

DCRat (DarkCrystal RAT), 2019'da Rus yeraltı forumlarında satışa çıkan modüler bir RAT'tır. Plugin sistemiyle keylogger, webcam erişimi, credential hırsızlığı, DDoS gibi özellikler eklenebilir. 2022-2023'te düşük fiyatıyla (yaklaşık 5$) popüler hale geldi. VBScript droppers + PowerShell stage chain kullanır. "sostener" İspanyolcası LATAM hedeflemeye işaret ediyor.

IOC

SHA256	`71c79c58dc14cf56103153b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
C2	geutqmonpmjthuux.ru
Dropper	sostener1.vbs (İspanyolca LATAM lure)

DCRat2 — Perfil do malware

DCRat DarkCrystal RAT 2019 Rus underground. Plugin tabanlı modüler. VBScript dropper. .Ru TLD C2. sostener LATAM hedefleme.

Tipo de malware

RAT

Linguagem de programação

C#/.NET

Protocolo C2

TCP/HTTP

Sistemas-alvo

Küresel

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — DCRat2

# DOMAIN
geutqmonpmjthuux.ru

Tipo	Valor	Nota
domain	geutqmonpmjthuux.ru

DCRat2 — Ver perfil completo →

Servidores C2 (1 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
geutqmonpmjthuux.ru	domain	443	HTTP	inactive	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.