HTA InternalCache Loader: Unicode Obfüskasyon, AES-128 CBC Payload ve WMI Gizli Süreç

Genel Bakış

HTA InternalCache Loader, 540KB boyutunda gizlenmiş bir HTML Application (.hta) dosyasıdır. Unicode çöp karakterler (⨺უಅ⃺੃) ile obfüske edilmiş, AES şifreli bir PowerShell payload'ı taşımakta ve WMI Win32_Process üzerinden görünmez işlem başlatmaktadır. Başlık olarak "Internal Cache" kullanan uygulama, çalışırken ekran dışına (-2000, -2000) konumlanmakta ve görev çubuğunda görünmemektedir.

Teknik Analiz

Obfüskasyon Yöntemi

Tüm kritik JScript kodu, Unicode dışı karakterler (⨺უಅ⃺੃) arasına dağıtılmış parçalar halinde yazılmıştır. Çalışma anında .replace(/⨺უಅ⃺੃/g, "") ile temizlenmektedir:

• "W⨺უಅ⃺੃in32_P⨺უಅ⃺੃roce⨺უಅ⃺੃ss" → Win32_Process
• "winmgmts:\\.\ro⨺უಅ⃺੃ot\ci⨺უಅ⃺੃mv2" → winmgmts:\.\root\cimv2
• "I⨺...⨺n⨺...⨺v⨺...⨺o⨺...⨺k⨺...⨺e⨺...-⨺E⨺...⨺x⨺...⨺p⨺...⨺r" → Invoke-Expression

AES Şifreli Payload Çözme Akışı

1. Payload bölme: Base64 payload (pentatomid) 30.000 karakter parçalara ayrılıp kullanıcı environment değişkenlerine ($env:P1, $env:P2...) yazılır
2. PowerShell komutu kurma: $cedarbird = [Convert]::FromBase64String($env:P1+$env:P2+...)
3. IV ayrımı: $monobloc = $cedarbird[0..15] (ilk 16 bayt = IV)
4. Şifreli veri: $phlebotomist = $cedarbird[16..len-1]
5. AES çözme: Key = $celiotomy; IV = $monobloc; CreateDecryptor()
6. Çalıştırma: Invoke-Expression $lawyerly

AES Anahtarı: LPO6vsZ6YfrYbEnK (16 bayt — AES-128 CBC)

WMI Gizli Süreç Başlatma

• GetObject("winmgmts:\.\root\cimv2").Get("Win32_ProcessStartup")
• hammerer.ShowWindow = 0 (gizli pencere)
• messianic.Create(mavortial, null, hammerer, waffly) → PowerShell görünmez başlatma

Temizlik

Yürütme sonrası tüm environment değişkenleri (P1..Pn) silinerek iz temizlenmektedir.

Teknik 項目ler

IOC Özeti

• AES Anahtarı: LPO6vsZ6YfrYbEnK
• WMI Sınıfı: Win32_ProcessStartup (gizli başlatma)
• SHA256: 71d86f769000ceee4fde80551128119ce2a31d0da6bb2ce29f0a725e726c081e