Bifrost RAT 流量分析报告
使用方法
1.在Builder页面设置IP、端口、密码，然后Build生成木马
2.设置密码和监听端口，当受控靶机运行木马时即可上线
检测方案
1.检测心跳包，时间间隔为15s，为TCP的三个包。时间间隔根据不同版本而不同。版本为Birost1.2.1d的时间间隔为12秒
2.检测短数据包，数据长度为40-159的数据包占比为79.98%
3.当远控工具产生交互行为时，上行流量大于下行流量
上行流量数据包统计：
下行流量数据包统计：
3.PSH标志包和SYN标志包占比增加
PSH标志位数据包总数为1039，占100%
SYN标志位数据包总为1039，占100%
4.存在特征码
版本为Bifrost1.2.1d的特征码为0000003a3dba1a
版本不同，特征码不同。