RAT, 인포스틸러, 백도어 및 기타 악성코드 패밀리에 대한 포괄적인 위협 분석, IOC 및 연구 보고서.
Sahte fatura HTA: QUOTE-05348-2026.pdf.hta cift uzanti hilesi, InternalCache gizli HTA uygulamasi, ortam degiskeni chunk obfuskasyon (30K karakter bolme), AES sifre MqVI5ZYptsWhg4UT, WScript.Sleep anti-sandbox.
AutoIt v3 derlenmiş injector: VirtualAllocEx+WriteProcessMemory enjeksiyon, SeDebugPrivilege yukseltme, HTTP/FTP indirme, WNet API ile SMB ag paylasimi yayilmasi. C2: 94SQ.ME.
.NET dropper: Dropbox CDN uzerinden Pass.exe indirme, cmd.exe devre disi birakma (DisableCMD), ping gecikmeli self-delete, processhacker tespiti. C2 IP: 155.117.183.181.
B.crypted uzantılı ransomware: WMI Win32_ShadowCopy ile gölge kopya silme, Webroot/COMODO/ZoneAlarm/CrowdStrike süreç kill listesi, Tor onion C2 adresi ile ödeme sistemi.
Android APK trojan: sahte Accessibility Service arayüzü, Facebook (flogin.xml) ve Google (glogin.xml) kimlik avı overlay, adminrights.xml cihaz yönetici izni, çok dilli destek (en/ja/ar).
TLauncher kılığında ISO trojan: SmartScreen bypass (ISO mount), Unblock-File (MoW kaldırma), mklink /h hardlink Startup kalıcılık, AES PasswordDeriveBytes şifreleme. C2: java-for-minecraft.com.
C++ özel fidye yazılımı: Crypto++ Rijndael AES-NI donanım hızlandırma, boost::thread 1.68 ile paralel şifreleme, .locked uzantı, README-NOW.txt fidye notu, iletişim e-postaları (protonmail, o2.pl).
.NET Pulsar RAT: Chrome ABE bypass (app_bound_encrypted_key, no-sandbox trick), Firefox PK11SDR decrypt, AForge.Video.DirectShow webcam streaming, Gma.System.MouseKeyHook keylogger, SharpDX ekran, AES-256+BCrypt.
Ryuk Ransomware: RyukReadMe.html fidye notu, VirtualAllocEx+WriteProcessMemory+CreateRemoteThread enjeksiyonu, SeDebugPrivilege yükseltme, CryptoAPI RSA+AES offline şifreleme.
Ryuk.Net kaynak koduna dayanan Yashma Ransomware Builder v1.2. Medusa Tor C2, Telegram ödeme botu, RSA+AES şifreleme, VSS silme. Geliştirici parmak izi: dongmin.liu. 100+ dosya uzantısı.
.NET Mono MSI dropper: DownloadAndRun + exeUrl ile HTTP payload indirme, BCryptImportKey + AesCryptoServiceProvider şifreleme, obfüskeli string'ler ve WinForms sahte GUI.
Delphi+AutoIt binary: Adobe Reader 8 kamuflajı, AUTORUN.INF USB yayılımı, HKCU Shell registry hijacking (HelpMe.exe), UDP port 74 RAT ve gömülü Procmon sandbox logları.
540KB HTA dropper: Unicode çöp karakter obfüskasyonu, AES-128 CBC şifreli PowerShell payload, WMI Win32_Process ile gizli çalıştırma ve env var temizleme. Anahtar: LPO6vsZ6YfrYbEnK.
AES-256/RSA/SSL şifreli .NET RAT. AMSI bypass için amsi.dll ve VirtualProtect Base64 gizleme + bellek yaması. HwidGen ile kurban kimliği, MutexControl, SSL/TLS TcpClient ve MessagePack serialization.
GCC 9.1.0 ile derlenmiş, Nettle 3.5.1 AES-GCM kütüphaneli tarayıcı parola hırsızı. Chrome/Firefox/Comodo/Yandex hedefli, DPAPI+AES-GCM şifre çözme, NtUnmapViewOfSection process hollowing ve dinamik C2 yapılandırması.
Delphi ile geliştirilmiş WAKOUT57QUTSUKA.dll: SetThreadContext + VirtualAllocEx process injection zinciri, dataout.log çıktısı ve Delphi RTL sınıflarıyla maskelenmiş obfüskayon.
5214 satırlık PowerShell betiği: MachineGUID ile C2'ye (37.49.226.113) bağlanıp kişiye özgü XOR anahtarı indirmekte, gömülü .NET assembly'yi bellek üzerinde çözüp yansımalı olarak yüklemektedir. Kampanya ID: 5OMy8xSO.
livedrivefiles.com/uploads adresine BCrypt şifreli veri yükleyen ve NtUnmapViewOfSection ile process hollowing gerçekleştiren x64 DLL. WTS token impersonation ve RC4 (SystemFunction001) kullanımı tespit edildi.
Rust ile geliştirilmiş NokoRansomware; Base64 kodlu yapılandırma sistemi, Volume Shadow Copy silme, ağ paylaşımı şifreleme ve gizli sürücü keşfi yetenekleriyle gelişmiş bir fidye yazılımıdır. C2 bağlantısı bulunmamakta, tamamen çevrimdışı çalışmaktadır.
Rhysida Ransomware v0.1 analizi: binary içinde sabit kodlu Tor C2 adresi, gizli anahtar, AES (CBC/ECB/XTS) + RSA hibrit şifreleme, PDF fidye notu ve PowerShell öz-silme mekanizması.