Genel Bakış
Bu örnek, 1.7 MB büyüklüğünde aşırı derecede obfüske edilmiş bir Windows Batch (BAT) Loader dosyasıdır. İçinde gömülü şifreli/kodlanmış bir payload barındırmakta; bu payload'ı Windows CMD'nin boş değişken genişletme ve gecikmiş genişletme tekniklerini kullanarak gizlemekte ve çalıştırmaktadır. Static analysisle komutlar okunamamaktadır.
Teknik Analiz
CMD Boş Değişken Genişletme Obfüskasyonu
Gerçek komutlar, tanımsız (boş) değişkenler arasına tek tek harfler gömülerek gizlenmektedir:
%KcxvgDTeQgRudRIloeqX%s%KcxvgDTeQgRudRIloeqX%e%KcxvgDTeQgRudRIloeqX%t...%KcxvgDTeQgRudRIloeqX% değişkeni tanımsız → boşa genişler → geriye sadece harfler kalır → setlocalenableDelayedExpansion
Gecikmiş Genişletme (!variable!) Katmanı
İkinci obfüskasyon katmanı: set localDelayedExpansion aktive edildikten sonra !variable! sözdizimi kullanılarak değişkenler çalışma zamanında inşa edilir:
!uGAuIHhOQQpxKPbFOzQjAYFvMvvYiPTZjMEdCcMyveoaQuKnPc!s%variable%e!another!t ...- Her satır tek bir karakteri bir değişkene atar
- Değişkenler birleştirilerek komutlar oluşturulur
- Son aşamada gerçek payload komutu çalıştırılır
Büyük Size — Gömülü Payload
- File boyutu 1.7 MB (standart bir BAT dosyası için çok büyük)
- Payload büyük olasılıkla Base64 veya XOR kodlanmış veri bloğu olarak içine gömülmüş
- Çalışma zamanında çözülüp geçici dosyaya yazılarak yürütülüyor
Teknik Propertyler
| Property | Value |
|---|---|
| Type | Windows BAT (DOS Batch) |
| Size | 1.704.256 bayt (1.7 MB) |
| Obfüskasyon 1 | Boş değişken genişletme (%NULL%) |
| Obfüskasyon 2 | Gecikmiş genişletme (!var!) |
| C2 | Belirsiz (statik analizle çözülemedi) |
IOC Özeti
- Teknik: CMD boş değişken + gecikmiş genişletme çift katman obfüskasyon
- SHA256:
9619a5ea45bf679ca486d21ced1f7adabc8a264ceeb2ff35985361633e74c300
IOC List (1 indicators)
IOC — BAT Loader
# SHA256
9619a5ea45bf679ca486d21ced1f7adabc8a264ceeb2ff35985361633e74c300
| Type | Value | Note |
|---|---|---|
| sha256 | 9619a5ea45bf679ca486d21ced1f7adabc8a264ceeb2ff35985361633e74c300 |