Swift Trojan Çince Dil Paketi Taklidi: Microsoft Detours API Hook, SSL Corp EV Sertifika, 点击切换简体中文语言包

Genel Bakış

Bu örnek, 点击切换简体中文语言包 ("Basitleştirilmiş Çince Dil Paketi'ne Geçmek İçin Tıklayın") adıyla gizlenen 1.46MB büyüklüğünde son derece gelişmiş bir trojan'dır. Microsoft Detours kütüphanesiyle Windows API çağrılarını hooklayan bu malware, Swift ile derlenmiş, SSL Corp EV kod imzalama sertifikasıyla imzalanmış ve serinin 5. Swift-derlenmiş örneğidir.

Teknik Analiz

Çince Dil Paketi Taklidi

• Archivo adı: 点击切换简体中文语言包.exe — "Basit Çineceye geçmek için tıklayın" anlamında
• Çince yazılım/oyun kullanıcılarını hedefliyor
• Meşru yazılım gibi görünerek güven kazanıyor

Microsoft Detours API Hooking

• .detourc section — Microsoft Detours trampolini
• .detourd section — Detours veri bölümü
• Microsoft Detours: Windows API fonksiyonlarına hook yapmak için kullanılan meşru bir kütüphane
• Malware bu kütüphaneyi güvenlik yazılımlarının API çağrılarını engellemek için kullanıyor
• TLS directory: 1 fonksiyon (hooklama başlatma)

SSL Corp EV Kod İmzalama Sertifikası

• SSL Corp EV (Extended Validation) sertifikası ile imzalı
• Certificate Authorities: SSL.com EV Root RSA R2, SubCA EV Code Signing RSA 4096
• OCSP: http://ocsps.ssl.com
• Bu sayede SmartScreen ve pek çok güvenlik katmanı atlatılıyor
• Not: SSL Corp, 2024'te çeşitli kötüye kullanım raporları nedeniyle gündeme geldi

Swift Derlemesi (5. Örnek)

• __swift_1, __swift_2 — Swift runtime sembolleri
• Bu seride görülen 5. Swift-derlenmiş Windows zararlısı

Suspicious Section Adları

• .detourc — suspicious name (non-standard section name)
• .detourd — suspicious name, small length
• Detours kütüphanesi bu bölüm adlarını standart PE yapısına ekliyor

Hardcoded Config

• Bc0OmSbjSozsJ$B91t8PmNY — 268 tekrar (olası XOR key veya config token)
• SetThreadContext — injection için thread context manipülasyonu

Teknik Propiedadler

IOC Özeti

• Archivo adı: 点击切换简体中文语言包.exe (Çince)
• Detours sections: .detourc, .detourd
• SHA256: 31f530266fa3354a8152e4ac5ba5b6b5421d6ff4a19735586e611fd9f8348bc2