LiveDriveHollow: NtUnmapViewOfSection Process Hollowing ve BCrypt Şifreli Yükleme DLL'i

Genel Bakış

LiveDriveHollow, livedrivefiles.com/uploads adresine çalınan verileri yükleyen ve Process Hollowing tekniğiyle gizlenen bir x64 DLL'dir. Rastgele isimli (WAKOUT57QUTSUKA.dll) bu bileşen; BCrypt API'si ile şifrelenmiş iletişim, NtUnmapViewOfSection tabanlı process hollowing ve WTS token impersonation gibi ileri seviye teknikler kullanmaktadır.

Teknik Analiz

C2 Yükleme Altyapısı

DLL, çalınan verileri HTTP üzerinden şifreleyerek iletmektedir:

• Yükleme Endpoint: https://livedrivefiles.com/uploads
• API Formatı: OData metadata yapısı (odata.metadata)
• İçerik Tipoü: Content-Type başlığı ile multipart/form-data

Process Hollowing Zinciri

DLL, aşağıdaki Windows API'leri aracılığıyla klasik process hollowing gerçekleştirmektedir:

1. CreateProcessW / CreateProcessAsUserW — Askıya alınmış süreç oluşturma
2. NtUnmapViewOfSection — Hedef sürecin belleğini boşaltma
3. VirtualAlloc — Yeni bellek alanı tahsisi
4. RtlCreateProcessParametersEx — Süreç parametrelerini yeniden oluşturma

Şifreli İletişim (BCrypt API)

• BCryptOpenAlgorithmProvider — Şifreleme algoritması başlatma
• BCryptSetProperty — Anahtar ve IV yapılandırması
• BCryptEncrypt / BCryptDecrypt — Veri şifreleme/çözme
• BCryptDestroyKey — Anahtar temizleme

Token İmpersonation

• WTSQueryUserToken — Terminal servisi oturumundan token alma
• DuplicateTokenEx — Yetkili token klonlama
• CreateProcessAsUserW — Yükseltilmiş yetkiyle süreç başlatma
• CryptStringToBinaryA / CryptBinaryToStringA — Kriptografik dönüştürme

Export Analizi

DLL içe aktarma tablosunda SystemFunction001 exportu (RC4 şifreleme için Windows yerleşik fonksiyonu) bulunmaktadır. Bu, DLL'in içeride RC4 kullandığına işaret etmektedir.

Anti-Analiz

• Rastgele DLL ismi: WAKOUT57QUTSUKA.dll
• _RDATA section (şüpheli isim, küçük boyut)
• Entropy: 6.31 (normal görünüm için optimize edilmiş)

Teknik Propiedadler

IOC Özeti

• C2 URL: https://livedrivefiles.com/uploads
• DLL İsmi: WAKOUT57QUTSUKA.dll
• SHA256: 6b33d20196267b0d64bca815ca863558d26b17cee77caf62a6cce8eae555ac8d