DiceLoader2 -- e345rt.vbs Klavye Rastgele İsim, bottomautomobilemean pilotshotluck Üçlü İngilizce Kelime Anlamsız Birleştirme VBS Fonksiyon Adı Obfuskasyonu, Base64 .NET Payload Parçaları | Yüksek

Archivo Kimliği

e345rt.vbs: Klavye Rastgele Tuş Nombre de archivo

e345rt.vbs
-- "e345rt" = klavyede art arda basılan tuşlar! (e, 3, 4, 5, r, t)
-- Anlamsız, benzersiz, hafızada kalmayan bir isim
-- ".vbs" = VBScript: Windows'ta wscript.exe ile çalışır
-- Klavye karmaşa adı → her sample için farklı → siyah liste atlatma
-- Teslimat: phishing e-postası veya drive-by download

bottomautomobilemean, pilotshotluck, tropicalnosort: Üç Kelime Birleştirme Obfuskasyonu

Public Function bottomautomobilemean()
    bottomautomobilemean = "AAAKKAcAAAZy8QgAcHL9..."

Public Function pilotshotluck()
Public Function tropicalnosort()
Public Function shownbroughttraffic()
Public Function chosebrassgather()
Public Function tapeseriesskill()
Public Function noddedcorrectlygentle()
Public Function diameterliquidsweet()
Public Function holdfifthfigure()
Public Function herbreakfastplain()
Public Function wayorganizationchange()
Public Function grewridingheld()
Public Function getthereordinary()
Public Function breadflytank()
Public Function wasteshopsurrounded()
Public Function enddealthem()
-- Obfuskayon tekniği: ÜÇLÜ İNGİLİZCE KELİME BİRLEŞTİRME
  - "bottom" + "automobile" + "mean" = semantik anlamsız birleşim
  - "pilot" + "shot" + "luck" = her fonksiyon farklı üçlü
  - "tropical" + "no" + "sort" = sözlükteki gerçek kelimeler
-- Neden bu teknik?
  - AV/sandbox: fonksiyon isimleri "şüpheli" değil → sinyal yok
  - İnsan analistler: isimleri takip etmek zorlaşıyor
  - Regex tabanlı tespit: önemsiz kelimeler filtreden geçiyor
-- Her fonksiyon: tek bir BASE64 parçası döndürüyor
  - Parçalar birleştirilince: .NET BinaryFormatter payload!
  - "AAEAAAD/////" = BinaryFormatter başlangıç imzası
  - "AAAKKAcAAAZy8QgAcHL9" = ikinci parça base64
-- Yüzlerce parça → runtime'da birleştirilip çalıştırılıyor

Base64 .NET BinaryFormatter Payload

finallyfactoryuncle = "AAEAAAD/////AQAAAAAAAA..."
-- "AAEAAAD/////" = .NET BinaryFormatter serilaştırma başlangıcı
-- BinaryFormatter: .NET nesnelerini ikili biçimde serialize eder
-- Payload: VBS'in içine gizlenmiş .NET assembly veya nesne
-- Bu teknik: antivirus'ü atlatmak için payload'ı parçalara böler

IOC