Delphi Injector DLL: SetThreadContext Process Enjeksiyonu ve WAKOUT57QUTSUKA Export Adı

Genel Bakış

Delphi Injector DLL, Borland/Embarcadero Delphi ile geliştirilmiş ve rastgele isimlendirilmiş (WAKOUT57QUTSUKA.dll) bir enjeksiyon modülüdür. SetThreadContext ve VirtualAllocEx tabanlı process injection tekniklerini kullanarak hedef süreçlere kod enjekte etmekte, çıktıyı dataout.log dosyasına kaydetmektedir.

Teknik Analiz

Process Injection Zinciri

DLL, klasik SetThreadContext enjeksiyon yöntemini uygulamaktadır:

1. OpenProcess — Hedef süreci açma
2. VirtualAllocEx — Uzak süreçte bellek ayırma
3. WriteProcessMemory — Payload yazma
4. SetThreadContext — Thread context manipülasyonu ile EIP/RIP yönlendirme
5. VirtualAlloc — Yerel bellek yönetimi

DLL Kimliği ve Exportlar

DLL, Delphi hata ayıklama sarmalayıcıları export etmektedir:

• dbkFCallWrapperAddr (Ordinal 1) — Delphi kernel çağrısı sarmalayıcısı
• __dbk_fcall_wrapper (Ordinal 2) — Delphi fonksiyon çağrısı gizleme

Export adı: WAKOUT57QUTSUKA.dll (rastgele oluşturulmuş, obfüskayon için)

Delphi RTL Kanıtı

• System.SysUtils (35 tekrar) — Delphi standart kütüphanesi
• TMonitor.TWaitingThread, TMonitor.TSpinLock — Delphi senkronizasyon sınıfları
• EOverflow, EExternal, BigEndian — Delphi istisna sınıfları

Loglama

dataout.log dosyasına enjeksiyon sonuçları veya çalınan veri yazılmaktadır. Bu, DLL'in bir bilgi toplayıcı veya keylogger ile birlikte kullanıldığına işaret etmektedir.

Teknik 項目ler

IOC Özeti

• Export DLL Adı: WAKOUT57QUTSUKA.dll
• Log ファイルsı: dataout.log
• SHA256: 6a058069adac2a1688ab000c50dbc757eaf89ae8beff17387f00025ebfdb16d3