Bifrost RAT 流量分析报告

使用方法

---

1.在Builder页面设置IP、端口、密码，然后Build生成木马

2.设置密码和监听端口，当受控靶机运行木马时即可上线

---

检测方案

---

1.检测心跳包，时间间隔为15s，为TCP的三个包。时间间隔根据不同版本而不同。版本为Birost1.2.1d的时间间隔为12秒

2.检测短数据包，数据长度为40-159的数据包占比为79.98%

3.当远控工具产生交互行为时，上行流量大于下行流量
上行流量数据包统计：

下行流量数据包统计：

3.PSH标志包和SYN标志包占比增加
PSH标志位数据包总数为1039，占100%

SYN标志位数据包总为1039，占100%

4.存在特征码
版本为Bifrost1.2.1d的特征码为0000003a3dba1a
版本不同，特征码不同。