Анализ завершён. Все поведенческие утверждения подтверждены inspected-кодом (псевдокод функций sub_1400122FE, sub_140012584, sub_14000D2F6, sub_140002E2A, sub_140003CA0) и импортной таблицей.

---

Статический анализ PE — Rust RAT / инфомер

Общая информация

• - Файл: Portable executable для AMD64, 64-bit, image base 0x140000000.
• - Язык сборки: Rust (манглированные имена _RNvNt..., встроенный PDB-путь rat-ae0625d82abff395.pdb).
• - Точка входа (pe_entry): start @ 0x140045A50. tls_callbacks: три функции — TlsCallback_0 (0x140024610, CRT-guard), TlsCallback_1 (0x140045AE0), TlsCallback_2 (0x140045B70) — выполняются до входа в PE; по содержимому это runtime-обвязка std, декомпилироваться не требовалась.
• - Размер: 1278 функций, 806 строк, секции .text/.rdata/.idata/.data/.tls.

Сетевое поведение / C2 (подтверждено кодом)

• - Используется WINHTTP (не WinINet): WinHttpOpen/Connect/OpenRequest/SendRequest/ReceiveResponse/ReadData/CloseHandle/SetTimeouts.
• - sub_1400122FE — инициализация транспорта: WinHttpOpen с агентом-юзер-агентом Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (маскировка под браузер), WinHttpConnect к хосту из таблицы данных на порту 8443 (0x20FB), таймауты resolve/connect/send/receive = 10/10/30/30 с. При успехе — строка «HTTP transport initialized OK.».
• - Статический хост-фолбэк — 127.0.0.1 (находится в .rdata по 0x14007DAF0/0x14007DB00 как указатель на строку).
• - Эндпоинты (префикс i/rat/): регистрация i/rat/register?id=<ID>, опрос команд \t/commands.
• - sub_140012584 — универсальный HTTP-клиент: WinHttpOpenRequest (verb+path, флаг WINHTTP_FLAG_BYPASS_PROXY_CACHE), WinHttpSendRequest с телом, WinHttpReceiveResponse, чтение ответа через WinHttpReadData.
• - sub_14000D2F6 — поток-петля: цикл while (флаг) { …sub_140012584…; Sleep(33); } (beacon/polling с задержкой 33 мс). Строки «Registered. Entering main loop.» / «Entering beacon loop…».

Кража данных (stealer.rs)

• - Браузерные куки: Chrome ...\Google\Chrome\User Data\Default\Network\Cookies («Decrypting cookies…»); Edge ...\Microsoft\Edge\User Data\Default\Network\Cookies; Firefox \cookies.sqlite, …fox_cookie_ («Reading cookies (plaintext)…»).
• - Discord: парсинг LevelDB (Discord LevelDB not found), токены в файлах с префиксом cord_token_ («No tokens found.» / «N token(s).»), «Browser Sessions ===».
• - Telegram: проверка telegram.exe, сбор tdata («Telegram tdata not found.»).
• - Дешифровка DPAPI: sub_140002E2A — обёртка над CryptUnprotectData над DATA_BLOB (возвращает расшифрованные байты). Метка en (DPAPI): . Импорты bcrypt (BCryptGenerateSymmetricKey) — наличие крипто-материала.

Персистентность и саморазмножение

• - Автостарт: ключ HKCU\Software\Microsoft\Windows\CurrentVersion\Run (RegCreateKeyExA/RegSetValueExA).
• - Конфиг-ключ: Software\RATConfig (+ доступ к HKCR/HKCU/HKLM).
• - Копирование себя: GetModuleFileNameA + CopyFileA.

RAT-команды (главный цикл sub_140003CA0, 35 КБ, engine/commands.rs)

• - Запуск кода: CreateProcessA (5 вызовов), ShellExecuteA со SW_HIDE (скрытое выполнение), CreateProcessA-потоки.
• - Процессы: OpenProcess, WriteProcessMemory, TerminateProcess, листинг через Process32First/Next (Toolhelp).
• - Реестр: полный набор Reg* (создание/опрос/запись/удаление ключей и значений).
• - Скриншот/вебкам: capCreateCaptureWindowA (AVICAP32), GetForegroundWindow, GDI32 (BitBlt, GetDIBits, CreateCompatibleBitmap/DC, SelectObject), GdipSaveImageToStream (gdiplus) — захват и сохранение изображения.
• - Буфер обмена / clipper: OpenClipboard, GetClipboardData, SetClipboardData, EmptyClipboard, CloseClipboard — чтение и подмена (перехват крипто-адресов/паролей).
• - Keylogger: SetWindowsHookExA, CallNextHookEx, UnhookWindowsHookEx, GetAsyncKeyState.
• - Сервисы (подавление защиты): OpenSCManagerA, OpenServiceA, EnumServicesStatusExA, ControlService, StartServiceA.
• - Разведка хоста: GetComputerNameA, GetUserNameA, GetEnvironmentVariableW, GetExtendedTcpTable (IPHLPAPI).
• - TTS-команда («fun»): powershell -Command "Add-Type -AssemblyName System.Speech; …SpeechSynthesizer…Speak('…')".

Модульная структура (из строок-путь源)

src/modules/: stealer, persist, network, commands(engine), keylog, screenshot, webcam, clipboard, clipper, ransomware, services, registry, postex, socks5, fun — типичный многопрофильный RAT-шаблон.

Индикаторы (IOCs)

• - PDB: rat-ae0625d82abff395.pdb
• - C2: префикс i/rat/, i/rat/register?id=, /commands; хост 127.0.0.1, порт 8443; UA Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
• - Реестр: HKCU\Software\Microsoft\Windows\CurrentVersion\Run, HKCU\Software\RATConfig
• - Цели: куки Chrome/Edge/Firefox, токены Discord, tdata Telegram
• - Ключевые API: WinHttp*, CryptUnprotectData, BCryptGenerateSymmetricKey, SetWindowsHookExA, GetAsyncKeyState, CreateProcessA, CopyFileA, capCreateCaptureWindowA

Вывод: это полностью функциональный Windows-RAT на Rust с двойным назначением — кражаcredentialов/токенов из браузеров и мессенджеров (с дешифровкой DPAPI) и удалённое управление через HTTP-петлю на C2 (порт 8443), с персистентностью, keyloggerом, захватом экрана/вебcams, перенаправлением буфера обмена, исполнением команд и модулями ransomware/clipper.