HijackLoader MSI -- OLU 1.2.35.3 Build, SsUSetting.pdb C:\Users\owner, NtQueryInformationProcess | Orta

ファイル Kimliği

Geliştirici Build Parmak İzi

C:\Users\owner\Desktop\OLU\1.2.35.3\Prj\Release_sp\SsUSetting.pdb
-- \owner\ = geliştirici Windows kullanıcı adı "owner" (jenerik)
-- \Desktop\OLU\ = masaüstü "OLU" proje klasörü
-- 1.2.35.3 = detaylı versiyon numarası (build 35 tercih 3)
-- \Prj\Release_sp\ = "Release Special" veya "Release_sp" build
-- SsUSetting.pdb = "SsU" prefix + Setting → "SuperUser Setting"?

Anti-Debug: NtQueryInformationProcess

NtQueryInformationProcess  -- NT API seviyesi debugger tespiti!
GetTickCount               -- zamanlama saldırısı
IsDebuggerPresent          -- kullanıcı modu debugger kontrolü
-- NtQueryInformationProcess çok güçlü: kernel seviyesi kontrol
-- ProcessDebugPort (7) sorgusuyla gizli debugger'ları da bulur
-- 3 farklı katmanda anti-debug koruması

HijackLoader Hakkında

HijackLoader (IDAT Loader) 2023'te tespit edilen modüler loader'dır. DLL hijacking ve process hollowing ile AV atlatır. GhostLoader, LummaC2, DarkGate, SystemBC gibi aileler için birinci aşama loader olarak kullanılır. MSI paketi içine gizlenerek kurumsal güvenlik politikalarını atlatır.

IOC