Manuel Statik Analiz — QuasarRAT (XRat) | Tehdit: YUKSEK
Arquivo Kimliği
| SHA256 | ef19d077de5b50ab660992b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Nome do arquivo | starkbucks.exe ("Starbucks" tiposquatting!) |
| Tamanho | 660.992 byte (.NET C#) |
| String Sayisi | 3.519 |
Starbucks Tiposquatting
Kamuflaj: "stark-bucks" → Starbucks'a benzer isim. İnsan gözüne ilk bakışta meşru görünüyor!
starkbucks.exe -- "Stark" + "bucks" = "Starbucks" visual confusaion -- Finans/para konusuyla ilgili lure -- Meşru Starbucks uygulaması gibi görünüyor
Coğrafi Konum Tespiti
https://freegeoip.net/xml/ -- Kurbanın IP → ülke/şehir bilgisi alınıyor -- Hedefli ülkelere seçici enfeksiyon (sandbox atlatma) -- freegeoip.net = ücretsiz IP geolocation API
AES Şifreleme
encryptionEnabled = true CreateEncryptor -- AES şifreleme başlat CreateDecryptor -- AES çözme
Bitcoin Cüzdanları
1AUY3PgS4r3UDo4iWXF1yB13xrq9 3KWcAMq2iQjetBTpn9rMLCBpbmIMPVL4
IOC
| SHA256 | ef19d077de5b50ab660992b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Kamuflaj | starkbucks.exe (Starbucks tiposquat) |
| Geo | freegeoip.net/xml/ (coğrafi kontrol) |
| BTC | 1AUY3PgS4r3UDo4iWXF1yB13xrq9 |
XRat — Perfil do malware
QuasarRAT/XRat .NET C# 2014. starkbucks.exe tiposquatting. freegeoip.net geo-check. AES.
Tipo de malware
RAT
Linguagem de programação
C#/.NET
Protocolo C2
TCP
Sistemas-alvo
Kuresel
Capacidades e comportamento
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Lista IOC (2 indicadores)
IOC — XRat
# DOMAIN
freegeoip.net
# MUTEX
1AUY3PgS4r3UDo4iWXF1yB13xrq9
| Tipo | Valor | Nota |
|---|---|---|
| domain | freegeoip.net | |
| mutex | 1AUY3PgS4r3UDo4iWXF1yB13xrq9 | BTC cüzdanı |