小白病毒分析学习之QuasarRAT分析

mortalboold

报告名称：QuasarRAT详细分析报告
作者：mo4ta1                                                            
报告更新日期：2020-03-30                                                                                       
样本类型：QuasarRAT家族远控                                                   
样本文件大小：348kb     
样本文件MD5 校验值： d059a264af31c72def4f1ae47898e422                                             
壳信息：.net 混淆                                                      
可能受到威胁的系统：windows                                
简介:
该样本是开源木马Quasars RAT,是一款具有下载执行，信息窃取，键盘记录等全功能的远控木马。
网络症状
ip-api.com collinserver.ddns.net
文件系统变化
创建C:\Windows\System32\dllcheck\dllcheck.exe
持久化
通过创建任务在有用户登陆的情况下执行dllcheck.exe
详细分析／功能介绍
样本运行后首先通过解密函数解密大量配置，包括释放文件名，cc域名等信息
  
之后创建互斥，保证样本只有实例运行

判断当前进程路径是否为C:\Windows\System32\dllcheck\dllcheck.exe

若不是该路径，则将样本拷贝到C:\Windows\System32\dllcheck\dllcheck.exe，执行dllcheck.exe，结束当前进程

访问http://ip-api.com/json获取当前受害者ip,以及ip所在地区等信息

判断当前进程权限是否为admin，若是则设置计划任务，将dllcheck.exe设置到计划任务实现持久化。若不是，则将dllcheck.exe设置到注册表Software\\Microsoft\\Windows\\CurrentVersion\\Run实现自启动
设置成功的计划任务信息如下

做完这些前期准备后，样本将创建一个keylogger线程进行键盘记录,并以html的形式记录键盘数据

最后样本将于c2进行通信，先获取受害者计算机机器名，用户名，杀毒软件产品等信息加密处理

将密后的数据发送到c接受c2返回命令

并根据不同命令执行相应的功能

该样本具有以下功能

• 任务管理器
• 文件管理器
• 启动进程
• 远程桌面
• 远程shell
• 下载执行
• 上传执行
• 系统信息
• 计算机命令（重新启动，关机，待机）
• 键盘记录器
• 反向代{过}{滤}理（SOCKS5）
• 窃取密码
• 注册表编辑
  

chenjingyes

谢谢楼主分享

你与明日

真就有人拿C#写木马....

雨落惊鸿，

厉害啊。。。

x123355492

感谢分享感谢

冰雪冬樱250

感谢楼主分享

raykeyor

感谢分享

uhxdDGjohs

希望分享手动查杀教程

cptw

感谢楼主分享

处女-大龙猫

我也想当大佬, 真难,