BitRAT -- golink.com Dead Drop Resolver C2, Windows Defender WdFilter WdBoot WdNisSvc WinDefend SmartScreen Devre Dışı, SCMConfig LSA Servis Kontrolü | Kritik

ファイル Kimliği

golink.com: Dead Drop Resolver C2

https://www.golink.com/
-- "GoLink.com" = meşru URL kısaltma / bağlantı yönetim servisi
-- Dead Drop Resolver: BitRAT gerçek C2 IP'sini buradan alıyor!
  - Teknik: saldırgan golink.com üzerinde kısa URL oluşturur
  - URL hedef IP'ye yönlendiriyor → BitRAT bu IP'yi alıp bağlanıyor
  - C2 IP değişirse yalnızca golink yönlendirmesi güncelleniyor
  - Meşru servis kullanımı: AV/IDS imza tespitini atlatıyor
-- Bu teknik: Dridex/TrickBot da Pastebin dead drop kullanırdı
-- golink.com → gerçek C2 IP → hedef sistem bağlantısı

Windows Defender + SmartScreen + Security Guard: Tam 信頼度lik Devre Dışı

=== WINDOWS DEFENDER SERVİSLERİ ===
SYSTEM\CurrentControlSet\Services\WdFilter    -- WD minifilter sürücüsü
SYSTEM\CurrentControlSet\Services\WdBoot      -- WD önyükleme sürücüsü
SYSTEM\CurrentControlSet\Services\WdNisDrv    -- WD Ağ İnceleme Sürücüsü
SYSTEM\CurrentControlSet\Services\WdNisSvc    -- WD Ağ İnceleme Servisi
SYSTEM\CurrentControlSet\Services\WinDefend   -- WD Antivirus ana servisi
SYSTEM\CurrentControlSet\Services\MsSecCore   -- MS Güvenlik Çekirdeği
SYSTEM\CurrentControlSet\Services\MsSecFlt    -- MS Güvenlik Filtresi
SYSTEM\CurrentControlSet\Services\MsSecWfp    -- MS Güvenlik WFP callout

=== SMARTSCREEN POLİTİKALARI ===
SmartScreenEnabled
Software\Microsoft\Edge\SmartScreenEnabled
SOFTWARE\Microsoft\PolicyManager\default\Browser\AllowSmartScreen
SOFTWARE\Microsoft\PolicyManager\default\SmartScreen\EnableSmartScreenInShell
SOFTWARE\Microsoft\PolicyManager\default\SmartScreen\EnableAppInstallControl

=== GÜVENLİK KORUYUCU ===
SYSTEM\CurrentControlSet\Services\SgrmAgent    -- Security Guard Agent
SYSTEM\CurrentControlSet\Services\SgrmBroker   -- Security Guard Broker

-- BitRAT: Windows'un TÜM güvenlik katmanlarını hedef alıyor!
-- Sıra: WdBoot (önyükleme sürücüsü) → WdFilter (minifilter) → WinDefend
-- SmartScreen: hem tarayıcı hem de shell düzeyinde devre dışı
-- SGRM: Sistem Bütünlüğü koruyucusu da hedef alınmış

SCMConfig + LSA: Servis Kontrol Yöneticisi ve LSA Manipülasyonu

SYSTEM\CurrentControlSet\Control\SCMConfig     -- Servis Kontrol Yöneticisi config
LsaConfigFlags                                  -- Yerel Güvenlik Yetkilisi bayrakları
SYSTEM\CurrentControlSet\Control\Lsa            -- LSA güvenlik alt sistemi
-- SCMConfig: Windows Servis Kontrol Yöneticisini yapılandırıyor
-- LSA: kimlik doğrulama ve güvenlik belgesi sistemi
-- BitRAT: LSA korumasını (Protected Users) devre dışı bırakıyor

IOC