SmokeLoader -- autoruns.exe Sysinternals Sahtecilik, Spaso Geliştirici PDB C:\Users\Spaso | Yüksek

파일 Kimliği

Sysinternals Autoruns Sahteciği

autoruns.exe
-- Sysinternals Autoruns = Microsoft güvenlik aracı (Mark Russinovich)
-- Güvenlik uzmanlarının kullandığı araç adını taklit ediyor
-- Güvenlik analistini kandırmak için bilinçli seçim!
-- "autoruns.exe çalışıyorsa zararsız" yanılgısı yaratır

Geliştirici Parmak İzi — Spaso

C:\Users\Spaso\source\repos\stub\Release\stub.pdb
-- "Spaso" = Sırp/Boşnak erkek ismi (Srpca: Spasoje kısaltması)
-- Visual Studio \source\repos\ = VS varsayılan proje dizini
-- "stub" = packer/loader proje adı (klasik SmokeLoader adlandırması)
-- Release build: debug bilgisi kasıtlı bırakılmış veya strip edilmemiş
-- Geliştirici makine username → OSINT linki mümkün

SmokeLoader Hakkında

SmokeLoader (Dofoil) 2011'de ortaya çıkan modüler loader'dır. İkinci aşama malware indirir (Vidar, Amadey, RedLine, Raccoon). Anti-VM ve anti-debug teknikleri güçlüdür. Rusça forum Dark0de'de $400/ay fiyata kiralanır. Process injection ile system süreçleri içinde gizlenir.

IOC