AsyncRAT: MessagePack, Plugins und konfigurierbare Fernsteuerung

Prüfauftrag, Stand und Beleggrenze

Öffentliche AsyncRAT-Codebasis und MITRE-Technikzuordnung; keine Ausführung, kein Build und kein Kampagnensample. Die Leitfrage lautet: Welche Architektur- und Verhaltensaussagen trägt dieser konkrete Prüfstand, und welche bleiben ausschließlich der Quelle zugeschrieben?

Was belegt ist — und was fehlt

Primärquellen, statisch prüfbarer Code und Laufzeitbeobachtungen haben unterschiedliche Aussagekraft. Die Karte hält diese Ebenen auseinander; fehlende Eigenbeobachtung wird nicht durch Plausibilität ersetzt.

Eintritt und Lieferkette

AsyncRAT ist eine offene Remote-Access-Codebasis, die in unterschiedlichen Phishing- und Loaderketten eingesetzt wurde. Der Upstream definiert nicht den Initialzugang. Eine Analyse muss deshalb Builderkonfiguration, konkreten Fork und Verteilungsartefakt getrennt behandeln.

Architektur und Datenfluss

Der Client dekodiert nach Dekompression MessagePack-Strukturen; Serverhandler ordnen Nachrichten Funktionen wie Shell, Dateien, Prozesse, Desktop, Webcam oder Wiederherstellung zu. Plugins erweitern den Funktionsumfang. Diese Trennung erzeugt gute Grenzen für Protokoll- und Modulbeobachtung.

Originalcode als Architekturbeleg

Der kurze Auszug zeigt nur die im Kapitel benannte Struktur. Er wird nicht ausgeführt und enthält keine vollständige operative Implementierung.

483        public void DecodeFromBytes(byte[] bytes)
484        {
485            using (MemoryStream ms = new MemoryStream())
486            {
487				bytes = Zip.Decompress(bytes);
488                ms.Write(bytes, 0, bytes.Length);
489                ms.Position = 0;
490                DecodeFromStream(ms);

Analyseabwehr und Persistenz

MITRE führt Debugger- und VM-Prüfungen, versteckte Fenster, dynamische Auflösung und geplante Tasks auf. Je nach Builder und Fork können diese Optionen fehlen. Ein stabileres Modell verbindet Konfigurationsmerkmale mit tatsächlicher Task-, Prozess- und Netzwerkaktivität.

Fähigkeiten, Ziel und Wirkung

Der offene Funktionsumfang reicht von Systemaufklärung und Dateiübertragung bis zu Shell, Bildschirm-, Kamera- und Tastatureingaben. Das beschreibt Angriffsfläche und mögliche Folgen, nicht automatisch beobachtete Nutzung jeder Funktion.

Telemetrieplan und Beweiskette

Hilfreich sind .NET-Artefakte, MessagePack-/Kompressionsmuster, ungewöhnliche Task-Persistenz und langlaufende ausgehende Verbindungen eines benutzerbeschreibbaren Clients. Alte YARA-Strings sollten gegen Fork-Drift und legitime MessagePack-Nutzung gegengeprüft werden. Für eine belastbare Untersuchung werden Prozess-GUID und vollständige Elternkette, Nutzer und Sitzung, Befehlszeile, Signatur- und Hashstatus, Datei- und Registryänderungen, DNS-/Verbindungsziele sowie nachgelagerte Zugriffe auf sensible Daten in einer gemeinsamen Zeitleiste erhalten. Zeitnähe ist dabei ein Belegparameter, keine bloße Visualisierung. Fehlende Sensorabdeckung wird pro Stufe markiert, damit ein nicht sichtbares Ereignis nicht fälschlich als nicht erfolgt gilt.

Detection Engineering und Gegenprüfung

Hilfreich sind .NET-Artefakte, MessagePack-/Kompressionsmuster, ungewöhnliche Task-Persistenz und langlaufende ausgehende Verbindungen eines benutzerbeschreibbaren Clients. Alte YARA-Strings sollten gegen Fork-Drift und legitime MessagePack-Nutzung gegengeprüft werden. Das folgende Modell ist bewusst eng, nicht engine-validiert und muss gegen legitime Administrations- und Softwarepfade getestet werden.

1title: AsyncRAT hidden-task candidate
2status: experimental
3logsource:
4  product: windows
5  category: process_creation
6detection:
7  selection:
8    Image|endswith: '\\schtasks.exe'
9    CommandLine|contains|all:
10      - '/create'
11      - '/sc'
12      - 'onlogon'
13    ParentImage|contains: '\\AppData\\'
14  condition: selection
15falsepositives:
16  - Legitimate administrative or software activity with the same isolated pattern
17level: medium

Alternativhypothesen und Negativtests

Vor einer Familienzuordnung werden die im Modell verwendeten Einzelmerkmale getrennt gegen Softwareverteilung, Administratorwerkzeuge, Installer, Browser- oder Backupsoftware und bekannte interne Skripte geprüft. Mindestens ein struktureller Anker und eine zeitlich passende Verhaltenskette müssen zusammenpassen. Quellcodefunktionen belegen Möglichkeiten des gepinnten Stands, nicht die Ausstattung jeder Kampagnenvariante. Es wurde nichts gebaut, gestartet oder mit einem Server verbunden. Ein negativer Gegencheck verwirft nur die geprüfte Hypothese; er ist keine allgemeine Entwarnung.

Attribution und Variantenrisiko

Quellcodefunktionen belegen Möglichkeiten des gepinnten Stands, nicht die Ausstattung jeder Kampagnenvariante. Es wurde nichts gebaut, gestartet oder mit einem Server verbunden.

Abschließende Bewertung

Die Analyse liefert eine belastbare Architektur- und Detektionsgrundlage für den benannten Stand. Sie ist kein Beweis für aktuelle Aktivität, vollständige Variantenabdeckung oder einen bestimmten Betreiber.

Grenzen der Prüfung

• Keine unabhängige Sample-, Laufzeit-, C2- oder Kampagnenverifikation.
• Quellcodefunktionen belegen Möglichkeiten des gepinnten Stands, nicht die Ausstattung jeder Kampagnenvariante. Es wurde nichts gebaut, gestartet oder mit einem Server verbunden.
• Defensive Modelle sind nicht mit einer Zielengine validiert.