PikaBot Loader -- ProcmonDebugLogger Named Pipe Tespiti, NtCreateSection_Hook Enjeksiyon, DLLPROTECT | Kritik

ファイル Kimliği

Process Monitor (Procmon) Named Pipe Tespiti

\\.\Global\ProcmonDebugLogger
-- Procmon aktifken bu Named Pipe oluşur
-- PikaBot bu pipe'ın varlığını kontrol ediyor
-- Procmon çalışıyorsa malware çalışmayı durduruyor!
-- GetTickCount64 + NtQuerySystemInformation = çoklu anti-debug

NtCreateSection_Hook — Process Injection

NtCreateSection              -- NT kernel section objesi oluştur
NtCreateSection_Hook()       -- Fonksiyon hook'u
"cannot get NtCreateSection proc address"  -- Hata mesajı
"activating NtCreateSection_Hook"          -- Hook aktivasyon logu
[DLLPROTECT] :: NtCreateSection_Hook()     -- Özel DLL koruma modülü
-- Process Hollow: svchost.exe/notepad.exe içine kod enjekte et

PikaBot Hakkında

PikaBot, 2023'te IcedID'nin mirasını devralan sofistike bir loader'dır. QBot (Qakbot) operasyonunun kapatılmasından sonra ortaya çıkmış, TA577 tehdit aktörü tarafından dağıtılmaktadır. Cobalt Strike ve diğer post-exploitation araçları için yükleme yapar. Email spam kampanyaları ve malvertising yoluyla yayılır.

IOC