Genel Bakış

Bu örnek, AutoIt v3 ile derlenmiş çok işlevli bir zararlı yazılımdır. Süreç enjeksiyonu (VirtualAllocEx+WriteProcessMemory), SeDebugPrivilege yükseltme, HTTP ve FTP indirme kapasitesi ile Windows ağ paylaşımı manipülasyonu (WNet API) içermektedir. C2 altyapısı olarak 94SQ.ME kısa domain'i tespit edilmiştir.

Teknik Analiz

AutoIt Derlenmiş Binary

  • Marker: H}AU3!EA06. ve AU3!EA06 — AutoIt v3 compile marker
  • String: "This is a compiled AutoIt script. AV researchers please email avsupport@autoitscript.com for support."
  • AutoIt plugin API fonksiyonları: AU3_GetPluginDetails, AU3_FreeVar

Süreç Enjeksiyonu

  • OpenProcess → hedef sürece erişim
  • VirtualAllocEx → uzak bellekte yer tahsisi
  • WriteProcessMemory → payload yazma
  • ShellExecuteW / ShellExecuteExW → dosya/komut çalıştırma

Ayrıcalık Yükseltme

  • OpenProcessToken → mevcut token'a erişim
  • LookupPrivilegeValueW → SeDebugPrivilege LUID arama
  • DuplicateTokenEx → token kopyalama
  • AdjustTokenPrivileges + SeDebugPrivilege → tüm süreçlere tam erişim

C2 ve Ağ İletişimi

  • Domain: 94SQ.ME (kısa domain, DGA değil)
  • InternetOpenW, HttpOpenRequestW, HttpSendRequestW → HTTP iletişimi
  • FtpOpenFileW, FtpGetFileSize → FTP dosya indirme/yükleme
  • InternetOpenUrlW → URL tabanlı indirme

Ağ Paylaşımı Operasyonları (WNet)

Bu AutoIt malware'i, SMB/UNC ağ paylaşımlarına bağlanarak yayılabilir:

  • WNetUseConnectionW → ağ paylaşımına bağlan
  • WNetCancelConnection2W → bağlantıyı kes
  • WNetGetConnectionW → mevcut bağlantıları sorgula
  • WNetAddConnection2W → yeni ağ bağlantısı oluştur

Teknik 項目ler

項目値
YapıAutoIt v3 derlenmiş (AU3!EA06)
サイズ1.251.015 bayt
Entropi7.48 (muhtemelen paketli)
C294SQ.ME
EnjeksiyonVirtualAllocEx + WriteProcessMemory
YayılmaWNet API (SMB ağ paylaşımları)

IOC Özeti

  • C2 Domain: 94SQ.ME
  • Ayrıcalık: SeDebugPrivilege
  • SHA256: 941a189bd84102c13255835bb2f4df77d9cb126be4e54faa179b9de469375fbe

IOCリスト (2 件の指標)

IOC — AutoIt Injector
# SHA256 941a189bd84102c13255835bb2f4df77d9cb126be4e54faa179b9de469375fbe # DOMAIN 94SQ.ME
タイプ値メモ
sha256 941a189bd84102c13255835bb2f4df77d9cb126be4e54faa179b9de469375fbe
domain 94SQ.ME
タグ
autoitinjectorvirtualallocwriteprocessmemorysedebugprivilegehttpftpwnetsmbnetwork-spreadau3