DarkComet RAT — Facebook.exe Yemi, DCMUTEX Imzasi, Keylogger/ScreenCapture/RemoteShell Modulleri, Delphi | Yuksek

Dosya Kimligi

Aile Tespit Imzalari

DCMUTEX                   -- DarkComet'in SIGNATURE mutex'i!
SOFTWARE\Borland\Delphi\RTL -- Delphi runtime onayı
TScreenCapture            -- Ekran yakalama modulu (Delphi sinifi)
TRemoteShell              -- Uzak kabuk modulu
PLUGIN / NUntPluginsData  -- Plugin sistemi
UntKeylogger              -- Keylogger birimi
UntScreenCapture          -- Ekran goruntuleme birimi
UntRemoteShell            -- Uzak kabuk birimi
untstartup                -- Baslangic / kalicilik modulu

Keylogger Komut Stringleri

ActiveOnlineKeylogger     -- Canli keylogging'i aktif et
UnActiveOnlineKeylogger   -- Canli keylogging'i durdur
KeylogOn                  -- Keylog baslat
ActiveOfflineKeylogger    -- Cevrimdisi keylogger modu
UnActiveOfflineKeylogger  -- Cevrimdisi keylogger'i durdur
ActiveOnlineKeyStrokes    -- Anlık tus basimlarini izle
UnActiveOnlineKeyStrokes  -- Anlık izlemeyi durdur

C2 Yapılandirmasi

127.0.0.1:1604  -- DarkComet varsayilan C2 IP:port
                -- 1604, DarkComet'in imza portudur
                -- 127.0.0.1 = test/gelistirme modunda derlenmis

Kalicilik

SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\  -- Registry startup
SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\  -- Startup folder

Hosts Dosyasi Manipulasyonu

drivers\etc\hosts
"I wasn't able to open the hosts file, maybe because UAC is enabled..."
-- DarkComet hosts dosyasini degistirmeye calisir (DNS hijacking)

DarkComet Hakkinda

DarkComet, Jean-Pierre Lesueur (DarkCoderSc) tarafindan Fransa'da gelistirilmis ve 2008-2012 yillari arasinda aktif olan bir Delphi RAT ailesidir. 2012 Suriye ic savasi sirasinda aktivistlere karsi hukumet aktörleri tarafindan kullaniminin tespit edilmesinin ardindan gelistirici projeyi durdurdu. Ancak fork'lari ve klonlari hala aktif olarak kullanilmaktadir.

IOC