AutoIt USB Worm + UDP RAT: Adobe Reader 8 Kamuflajı, AUTORUN.INF Yayılımı ve Port 74

Genel Bakış

Bu örnek; Delphi/VCL çerçevesine gömülmüş bir AutoIt betiği içermekte ve Adobe Reader 8 olarak kendini gizlemektedir. Binary içinde hem AutoIt RAT kodu hem de gerçek bir sandbox analizi çıktısı (Procmon CSV logları) barındırmaktadır. USB yayılımı (AUTORUN.INF), UDP port 74 üzerinden RAT iletişimi ve registry üzerinden kalıcılık gibi özellikler taşımaktadır.

Teknik Analiz

Adobe Reader Kamuflajı

Binary içinde Adobe kayıt bilgileri hardcoded olarak bulunmaktadır:

<AdobeUpdaterRegistrationManager>
  <DisplayName>Adobe Reader 8</DisplayName>
  <InstallPath>C:\Program Files (x86)\Adobe\Reader 8.0\Reader</InstallPath>
</AdobeUpdaterRegistrationManager>

USB Worm Mekanizması (AUTORUN.INF)

1. Kendini C:\AutoRun.exe olarak kopyalar: CopyFileExW(SHA256_hash → C:\AutoRun.exe)
2. C:\AUTORUN.INF dosyası oluşturur/okur/yazar
3. Böylece USB takıldığında otomatik çalışır (Windows XP/Vista/7'de)

Registry Persistence — Shell Hijacking

RegSetValueExA: HKEY_CURRENT_USER\Shell = "Explorer.exe HelpMe.exe"

Bu kayıt, oturum açıldığında HelpMe.exe'nin Explorer ile birlikte başlatılmasını sağlamaktadır.

UDP RAT (Port 74)

$socket = UDPBind("0.0.0.0", 74)
$data = UDPRecv($socket, 50, 3)
$status = UDPSend($socket, $msg)

Port 74'te UDP üzerinden bağlantı beklemekte, 50 baytlık komut paketleri almaktadır. Bu port alışılmadık bir tercihtir (genellikle Netrjs protokolü için ayrılmış).

Procmon/Sandbox Logları

Binary içinde 2019-2020 dönemine ait Procmon CSV logları gömülüdür — bu, erken sandbox analizi sırasında yakalanan dinamik davranış verilerini ifade etmektedir:

• WinExec: C:\WINDOWS\system32\HelpMe.exe
• VirtualAllocEx çağrıları HelpMe.exe sürecine yönelik
• WriteFile işlemleri (61440 baytlık bloklar)

Teknik 項目ler

IOC Özeti

• Dropped Files: C:\AutoRun.exe, C:\AUTORUN.INF, C:\HelpMe.exe
• Registry: HKCU\Shell = Explorer.exe HelpMe.exe
• UDP Port: 74
• SHA256: 79a98588b501d1fdb5de009a49dccaaf2f7683407c856f5007c062f36823aad0