asyncrat | 395ec56efbf5a967f5a286f19de4c829d498246d984b197be369b7d8eafc798d

Sharing

Copy URL Twitter E-mail

General

Target
395ec56efbf5a967f5a286f19de4c829d498246d984b197be369b7d8eafc798d
Size 45KB
Sample260722-lwd15ssfnd
SHA256 395ec56efbf5a967f5a286f19de4c829d498246d984b197be369b7d8eafc798d
MD5 59207b18a74250308bd8d5f6be5198ab
SHA1 687cf3985fdeb5be71a3cb218da302ebbb33fc55
SHA512 c75e34fef90e8a9ab7d37736f2b9e94e9179e004bc6354c149667d3057dcd9c848e944431b730f1517e262030183ab4f329e46c211fdbcf9b10dc4f947f7c023
SSDEEP 768:ku40ZTX3uXTaWUgzW0mo2qwqlsHoPEaMPIGNjbigX3iPXvRpyrHgA9lvvvKBDZMx:ku40ZTXEb2euuEaxGFbFXSvvvMAAcdMx
TLSH
T1E6233B003FE8812BF2BE4F78ACF26145857AF5632603D58A2CC451DB5613FC69A526FE
MD5 SHA1 SHA512 SSDEEP TLSH

Score

10^/10

Malware Config

Extracted

Family

asyncrat

Version

0.5.8

Botnet

Default

dagatructiep.sh:80
dagatructiep.sh:22
dagatructiep.sh:8080
dagatructiep.sh:8880
dagatructiep.sh:2052
dagatructiep.sh:2082
dagatructiep.sh:2086
dagatructiep.sh:2095
dagatructiep.sh:443
dagatructiep.sh:2053
dagatructiep.sh:2083
dagatructiep.sh:2087
dagatructiep.sh:2096
dagatructiep.sh:8443
www.dagatructiep.sh:80
www.dagatructiep.sh:22
www.dagatructiep.sh:8080
www.dagatructiep.sh:8880
www.dagatructiep.sh:2052
www.dagatructiep.sh:2082
www.dagatructiep.sh:2086
www.dagatructiep.sh:2095
www.dagatructiep.sh:443
www.dagatructiep.sh:2053
www.dagatructiep.sh:2083
www.dagatructiep.sh:2087
www.dagatructiep.sh:2096
www.dagatructiep.sh:8443
remote.dagatructiep.sh:80
remote.dagatructiep.sh:22
remote.dagatructiep.sh:8080
remote.dagatructiep.sh:8880
remote.dagatructiep.sh:2052
remote.dagatructiep.sh:2082
remote.dagatructiep.sh:2086
remote.dagatructiep.sh:2095
remote.dagatructiep.sh:443
remote.dagatructiep.sh:2053
remote.dagatructiep.sh:2083
remote.dagatructiep.sh:2087
remote.dagatructiep.sh:2096
remote.dagatructiep.sh:8443
qbot.dagatructiep.sh:80
qbot.dagatructiep.sh:22
qbot.dagatructiep.sh:8080
qbot.dagatructiep.sh:8880
qbot.dagatructiep.sh:2052
qbot.dagatructiep.sh:2082
qbot.dagatructiep.sh:2086
qbot.dagatructiep.sh:2095
qbot.dagatructiep.sh:443
qbot.dagatructiep.sh:2053
qbot.dagatructiep.sh:2083
qbot.dagatructiep.sh:2087
qbot.dagatructiep.sh:2096
qbot.dagatructiep.sh:8443
lokibot.dagatructiep.sh:80
lokibot.dagatructiep.sh:22
lokibot.dagatructiep.sh:8080
lokibot.dagatructiep.sh:8880
lokibot.dagatructiep.sh:2052
lokibot.dagatructiep.sh:2082
lokibot.dagatructiep.sh:2086
lokibot.dagatructiep.sh:2095
lokibot.dagatructiep.sh:443
lokibot.dagatructiep.sh:2053
lokibot.dagatructiep.sh:2083
lokibot.dagatructiep.sh:2087
lokibot.dagatructiep.sh:2096
lokibot.dagatructiep.sh:8443
clop.dagatructiep.sh:80
clop.dagatructiep.sh:22
clop.dagatructiep.sh:8080
clop.dagatructiep.sh:8880
clop.dagatructiep.sh:2052
clop.dagatructiep.sh:2082
clop.dagatructiep.sh:2086
clop.dagatructiep.sh:2095
clop.dagatructiep.sh:443
clop.dagatructiep.sh:2053
clop.dagatructiep.sh:2083
clop.dagatructiep.sh:2087
clop.dagatructiep.sh:2096
clop.dagatructiep.sh:8443

Mutex

256v7FUZPOzt

Attributes

delay
0
install
true
install_file
kfypb.exe
install_folder
%AppData%

aes.plain

Targets

- Target
  395ec56efbf5a967f5a286f19de4c829d498246d984b197be369b7d8eafc798d
- Size 45KB
- SHA256 395ec56efbf5a967f5a286f19de4c829d498246d984b197be369b7d8eafc798d
- MD5 59207b18a74250308bd8d5f6be5198ab
- SHA1 687cf3985fdeb5be71a3cb218da302ebbb33fc55
- SHA512 c75e34fef90e8a9ab7d37736f2b9e94e9179e004bc6354c149667d3057dcd9c848e944431b730f1517e262030183ab4f329e46c211fdbcf9b10dc4f947f7c023
- SSDEEP 768:ku40ZTX3uXTaWUgzW0mo2qwqlsHoPEaMPIGNjbigX3iPXvRpyrHgA9lvvvKBDZMx:ku40ZTXEb2euuEaxGFbFXSvvvMAAcdMx
- TLSH
  T1E6233B003FE8812BF2BE4F78ACF26145857AF5632603D58A2CC451DB5613FC69A526FE
- MD5 SHA1 SHA512 SSDEEP TLSH
Score

10^/10

default defense_evasion discovery execution asyncrat persistence rat
- Async RAT payload
  rat
- Family: AsyncRat
  AsyncRAT is designed to remotely monitor and control other computers written in C#.
  rat asyncrat
- Checks computer location settings
  Looks up country code configured in the registry, likely geofence.
- Executes dropped EXE
behavioral1 behavioral2