Genel Bakış

Bu örnek, 310KB büyüklüğünde başka bir ağır obfüske edilmiş Windows Batch (BAT) dropper'dır. Boş değişken genişletme (%nhiOvXUvZJiCxXCZWchh%) ve gecikmiş genişletme (!variable!) tekniklerini birleştirerek gerçek komutları gizlemektedir. Bu teknik, batch 26'da gördüğümüz 9619a5ea örneği ile aynı obfüskasyon şemasını paylaşmakta; ancak farklı null variable isimleri kullanılmaktadır — olası aynı kit kaynağı.

Teknik Analiz

Null Variable + Gecikmiş Genişletme Obfüskasyonu

@echo off
%nhiOvXUvZJiCxXCZWchh%s%nhiOvXUvZJiCxXCZWchh%e%nhiOvXUvZJiCxXCZWchh%t...
→ setlocalenableDelayedExpansion

set "BLHQHOvGifiyiXvJtUOA=s"
set "aCOFJAscSLbKPjppAmuK=t"
set "iXjSjYtzIqwuQVkATRwD=!BLHQHOvGifiyiXvJtUOA!e!aCOFJAscSLbKPjppAmuK!"
!iXjSjYtzIqwuQVkATRwD! "EEHFwuaLqq=net "
!iXjSjYtzIqwuQVkATRwD! "JVJdzEmpMX=file"
  • Null variable: %nhiOvXUvZJiCxXCZWchh% (tanımsız → boş genişler)
  • Bu sayede setlocalenableDelayedExpansion komutu karakterlere bölünüyor
  • İkinci aşamada değişkenler tek harflik parçalar içeriyor ve !var! ile birleştiriliyor
  • net file komutu admin kontrolü için kullanılıyor

9619a5ea ile Karşılaştırma

Propiedad9619a5ea (Batch 26)bb61e58f (Bu Örnek)
Tamaño1.7 MB310 KB
Null VariableKcxvgDTeQgRudRIloeqXnhiOvXUvZJiCxXCZWchh
Teknik%NULL%c + !var!%NULL%c + !var!
Kit KaynağıOlası aynı araçOlası aynı araç

Teknik Propiedadler

PropiedadValor
FormatWindows BAT (DOS Batch)
Tamaño310.054 bayt
Null VariablenhiOvXUvZJiCxXCZWchh
İkinci AşamaGecikmiş genişletme (!var!)
Admin Kontrolünet file > nul 2>&1

IOC Özeti

  • Null Variable: nhiOvXUvZJiCxXCZWchh
  • SHA256: bb61e58f11e979f287a40449ddb0172abbe28c96b2c04a6b3560a3f6d536539d

Lista IOC (1 indicadores)

IOC — BAT Loader
# SHA256 bb61e58f11e979f287a40449ddb0172abbe28c96b2c04a6b3560a3f6d536539d
TipoValorNota
sha256 bb61e58f11e979f287a40449ddb0172abbe28c96b2c04a6b3560a3f6d536539d
Etiquetas
batcmdobfuscationloaderdelayed-expansionnull-variablewindows-batchdropperadmin-checknet-file