Enigma CryptoPP v2 DLL Loader: RSA-OAEP+AES-CBC Sifrelenmis Yuk, NtCreateThreadEx Injection, WindowsDll.dll:Start

Genel Bakis

Bu ornek, Enigma CryptoPP v2 Loader olarak tanimlanan 1.1MB buyuklugunde bir PE32+ DLL'dir. D:\projects\enigma\cpp\LoaderCryptoPP.v2\ PDB izi tasiyan bu DLL, CryptoPP kutuphanesi uzerine insaa edilmis RSA-OAEP + AES-CBC sifreleme kullanan gelismis bir payload loader'dir. Export tablosunda WindowsDll.dll adi ve Start fonksiyonu yer almaktadir.

Teknik Analiz

Enigma Loader Tespiti

• PDB: D:\projects\enigma\cpp\LoaderCryptoPP.v2\CryptoPPijndael_simd.cpp
• PDB: D:\projects\enigma\cpp\LoaderCryptoPP.v2\CryptoPP\sha_simd.cpp
• Export: WindowsDll.dll — Start (ordinal 1, addr: 0x15e90)
• Bu DLL, "Start" islevi cagrilarak baslatilan moduler bir loader yapisinda

CryptoPP Sifreleme Stack'i

AES-CBC (Rijndael) + AES-NI hizlandirmasi
RSA-OAEP + SHA-1 (anahtar sarmalama)
SHA-256 (butunluk dogrulama)
DlSHANI (SHA SIMD hizlandirmasi)

• .?AVCBC_Decryption@CryptoPP@@ — AES-CBC cozme sinifi
• .?AV?$TF_DecryptorImpl@... — RSA trapdoor fonksiyonu ile cozme
• InvertibleRSAFunction — tersine cevirillebilir RSA islemleri
• Yuk RSA ile sifrelenip AES-CBC ile paketlenyor (hibrit sifrele)

Injection Teknigi

• NtCreateThreadEx remotePayload failed: — baska isleme thread olusturarak yuk aktarimi
• Suspicious imagebase (beklenen adres disinda)
• TLS directory: bulunan (callback fonksiyonu)
• .fptable section — ozel section

Sertifika

• Symantec sertifika imzali (ts-aia.ws, ts-crl.ws, ts-ocsp.ws)
• Sertifika baskasinin kimligini taklit icin kullanilmis olabilir

Teknik Ozellikler

IOC Ozeti

• SHA256: ed113062652d388bdf3397d05a197a48d3558e8db4c94f0cf37d2b0a0fe463e2
• Export: WindowsDll.dll:Start
• PDB: D:\projects\enigma\cpp\LoaderCryptoPP.v2\