BEC JScript Dropper OrderInquiry070126.js: JS Obfuscator Sayısal String-Array Tekniği, 1.37MB Minify

Genel Bakış

Bu örnek, OrderInquiry070126.js adıyla dağıtılan 1.37MB büyüklüğünde yoğun biçimde gizlenmiş bir BEC (Business Email Compromise) JScript dropper'dır. JavaScript Obfuscator aracının sayısal string-array lookup tekniğini kullanan bu örnek, sipariş sorgulama temalı kurumsal phishing kampanyasının parçasıdır. Archivo adındaki 070126 kodu olası bir tarih damgasıdır (Ocak 7, 2026 veya Temmuz 1, 2026).

Teknik Analiz

JavaScript Obfuscator Tekniği

function q(a,B){
  a = a - (0x2*-0x1dc + 0x6ff*0x5 + ...);
  var A = Z();   // string array
  var o = A[a];  // lookup by index
  return o;
}

• Tüm stringler büyük bir dizide saklanır (Z() fonksiyonu)
• Her literal string, karmaşık matematiksel hesaplamalarla elde edilen indeks ile erişilir
• Bu teknik "JavaScript Obfuscator Tool" ve benzeri araçların imzasıdır
• Archivo tek satır (6553+ karakter) halinde minify edilmiştir

BEC Sosyal Mühendisliği

• Archivo adı: OrderInquiry070126.js — sipariş sorgulama taklidi
• "070126" → Ocak 7, 2026 tarih damgası (Tipokiye/Avrupa formatı: GG.AA.YY)
• Tedarik zinciri, satın alma ve lojistik çalışanlarını hedef alır
• Batch 28'deki QUOTATIONREQUEST-DTC-9-P ile aynı BEC kampanyası örüntüsü

b5add4b2 ile Karşılaştırma (Batch 28)

Teknik Propiedadler

IOC Özeti

• Archivo adı: OrderInquiry070126.js
• Obfüskasyon: JS Obfuscator (string-array lookup)
• SHA256: c3fde2b6073956d263c5120f6ba761e936c776c372c7601d667671416eafa6e3