Analyse statique du RAT NanoCore Client 1.2.2.0

Fichiers analysés

L'exécutable fait 207 872 octets et s'identifie comme NanoCore Client.exe version 1.2.2.0 ; son SHA-256 correspond à son nom de fichier.

Autres empreintes de l'échantillon : MD5 292bc05e8da008c1c146069c53782afb, SHA-1 ecc8c355ebc50034a371f1b18dca073cc2b5181e. Autres empreintes de l'archive : MD5 fe534166ebba6601caae7474e282a5ea, SHA-1 babdd5c22dc4c7316e0ea027b933168f040f5856.

Caractéristiques de l'échantillon : 3 sections, 71 types, 464 méthodes, 19 imports P/Invoke, non signé, point d'entrée ClientLoaderForm.Main. MVID 426fff4d-c208-4bdc-b784-e45b84513c2d, GUID d'assembly 6d55dc7f-761f-447b-bef5-4a3b649a2621, date de build lue dans la configuration : 2026-10-08 13:13 UTC.

Méthode

L'analyse est entièrement statique : l'échantillon n'a jamais été exécuté et aucun réseau n'a été contacté.

1. Extraction. unzip ne gère pas le chiffrement AES de l'archive et 7z était absent ; l'archive a été ouverte avec pyzipper dans un environnement Python temporaire, puis identifiée avec file et sha256sum.
2. Inspection avec REA 6.4.0. Les commandes inspect-managed-artifact, inspect-managed-members, inspect-managed-native-boundaries et inspect-pe-resources ont donné l'identité du fichier, 2 252 appels entre méthodes, 19 imports natifs et une ressource RT_RCDATA d'entropie 8,0.
3. Ghidra 12.1.4. Import réussi (403 procédures), mais son décompilateur lit le bytecode CIL comme du x86 et produit du pseudo-code inutilisable ; il n'a servi qu'à confirmer la structure.
4. Décompilation CIL. ilspycmd 8.2.0.7535 a produit environ 9 900 lignes de C#.
5. Déchiffrement de la configuration. PBKDF2 (SHA-1, 8 itérations) initialisé avec le GUID d'assembly donne la clé et l'IV d'un AES-128-CBC ; il livre une clé DES de 8 octets, qui déchiffre ensuite les données (Deflate puis sérialiseur maison).
6. Décodage des 189 chaînes. La routine d'Eazfuscator a été réécrite en Python à partir du code décompilé, sans exécuter celui de l'échantillon. Deux constantes internes (1607814 et 1611930) sont retrouvées à l'identique et les 189 chaînes donnent du texte lisible.

Configuration extraite

Les serveurs C2 sont pg999asia[.]net et pg999slot2022[.]com, tous deux sur le port 80 ; les valeurs ci-dessous sont lues directement après déchiffrement.

La configuration embarque aussi deux assemblies .NET (les plugins) et un modèle XML de tâche planifiée exécutée avec les privilèges maximaux.

Comportement

Le client s'installe discrètement, s'élève, persiste, puis attend les ordres de l'opérateur ; les plugins sont chargés en mémoire.

• Lancement discret : formulaire invisible, réduit et absent de la barre des tâches.
• Élévation et persistance : relance avec runas, clé Software\Microsoft\Windows\CurrentVersion\Run, tâche planifiée créée par schtasks.exe /create /f /tn "{0}" /xml "{1}", lecture de EnableLUA pour juger l'état d'UAC.
• Évasion : suppression du flux :Zone.Identifier (marque de provenance Internet).
• Identifiant victime : MachineGuid lu dans HKLM\SOFTWARE\Microsoft\Cryptography.
• Protocole C2 : TCP asynchrone, keep-alive, paquets chiffrés ; commandes de base, de transfert de fichiers par blocs avec hachage, et de gestion des plugins.
• Fichiers locaux : settings.bin, settings.bak, storage.dat, catalog.dat, run.dat, task.dat, client.log et des *.dat pour les plugins en cache.
• Fausse boîte d'installation : les réglages ShowInstallationDialog, InstallationDialogTitle et InstallationDialogMessage existent mais ne sont pas renseignés dans cette configuration.

Plugin SurveillanceEx

Ses commandes et ses imports natifs montrent un module de surveillance complet ; le fonctionnement détaillé est déduit des noms et des API, pas retracé de bout en bout.

• Keylogger : entrée brute, titre de fenêtre, presse-papiers.
• Journaux : touches, applications et DNS (lecture du cache DNS Windows).
• Mots de passe : commandes pour outils d'envoi, clients de messagerie et navigateurs.
• Injection de processus : CreateProcess, NtUnmapViewOfSection, WriteProcessMemory, SetThreadContext, ResumeThread — probablement pour lancer des outils de récupération de mots de passe dans un processus légitime (inférence).

Indicateurs de compromission

Les domaines sont écrits sous forme défangée ([.]) pour éviter tout clic accidentel.

Limites et recommandations

La configuration et les chaînes sont fiables car lues après déchiffrement ; le comportement des plugins est déduit et n'a pas été observé.

Limites

• Aucune exécution : le comportement est déduit du code et de la configuration, pas observé.
• Aucune recherche externe : les hachages et domaines n'ont pas été soumis à des services de renseignement sur les menaces, et les domaines n'ont pas été résolus. L'attribution « NanoCore » repose sur le nom d'assembly, la structure des classes et les API.
• Le plugin SurveillanceEx n'a pas été analysé méthode par méthode.
• Le GUID 522D4B77-C8AA-4E06-9D54-CF406F661572, présent dans les chaînes décodées, a un rôle non déterminé.
• Le déroulement exact du contournement d'UAC n'a pas été retracé.

Recommandations

1. Bloquer les deux domaines C2 au niveau DNS et proxy, et les rechercher dans les journaux.
2. Chercher le mutex, les tâches planifiées créées avec /xml, les entrées Run récentes et les fichiers *.dat ou client.log dans les profils utilisateurs.
3. Ajouter les trois hachages aux listes de blocage de l'EDR.
4. En cas d'infection avérée, considérer comme compromis les mots de passe saisis ou enregistrés et le contenu du presse-papiers.
5. Compléter par une analyse dynamique en laboratoire isolé et une analyse complète du plugin SurveillanceEx.