AutoIt Injector: SeDebugPrivilege, VirtualAllocEx, HTTP/FTP ve WNet Ağ Yayılma (94SQ.ME C2)

Genel Bakış

Bu örnek, AutoIt v3 ile derlenmiş çok işlevli bir zararlı yazılımdır. Süreç enjeksiyonu (VirtualAllocEx+WriteProcessMemory), SeDebugPrivilege yükseltme, HTTP ve FTP indirme kapasitesi ile Windows ağ paylaşımı manipülasyonu (WNet API) içermektedir. C2 altyapısı olarak 94SQ.ME kısa domain'i tespit edilmiştir.

Teknik Analiz

AutoIt Derlenmiş Binary

Marker: H}AU3!EA06. ve AU3!EA06 — AutoIt v3 compile marker
String: "This is a compiled AutoIt script. AV researchers please email avsupport@autoitscript.com for support."
AutoIt plugin API fonksiyonları: AU3_GetPluginDetails, AU3_FreeVar

Süreç Enjeksiyonu

OpenProcess → hedef sürece erişim
VirtualAllocEx → uzak bellekte yer tahsisi
WriteProcessMemory → payload yazma
ShellExecuteW / ShellExecuteExW → dosya/komut çalıştırma

Ayrıcalık Yükseltme

OpenProcessToken → mevcut token'a erişim
LookupPrivilegeValueW → SeDebugPrivilege LUID arama
DuplicateTokenEx → token kopyalama
AdjustTokenPrivileges + SeDebugPrivilege → tüm süreçlere tam erişim

C2 ve Ağ İletişimi

Domain: 94SQ.ME (kısa domain, DGA değil)
InternetOpenW, HttpOpenRequestW, HttpSendRequestW → HTTP iletişimi
FtpOpenFileW, FtpGetFileSize → FTP dosya indirme/yükleme
InternetOpenUrlW → URL tabanlı indirme

Ağ Paylaşımı Operasyonları (WNet)

Bu AutoIt malware'i, SMB/UNC ağ paylaşımlarına bağlanarak yayılabilir:

WNetUseConnectionW → ağ paylaşımına bağlan
WNetCancelConnection2W → bağlantıyı kes
WNetGetConnectionW → mevcut bağlantıları sorgula
WNetAddConnection2W → yeni ağ bağlantısı oluştur

Teknik Özellikler

Özellik	Değer
Yapı	AutoIt v3 derlenmiş (AU3!EA06)
Boyut	1.251.015 bayt
Entropi	7.48 (muhtemelen paketli)
C2	94SQ.ME
Enjeksiyon	VirtualAllocEx + WriteProcessMemory
Yayılma	WNet API (SMB ağ paylaşımları)

IOC Özeti

C2 Domain: 94SQ.ME
Ayrıcalık: SeDebugPrivilege
SHA256: 941a189bd84102c13255835bb2f4df77d9cb126be4e54faa179b9de469375fbe

IOC Listesi (2 gösterge)

IOC — AutoIt Injector

# SHA256
941a189bd84102c13255835bb2f4df77d9cb126be4e54faa179b9de469375fbe

# DOMAIN
94SQ.ME

Tür	Değer	Not
sha256	941a189bd84102c13255835bb2f4df77d9cb126be4e54faa179b9de469375fbe
domain	94SQ.ME

Etiketler

autoitinjectorvirtualallocwriteprocessmemorysedebugprivilegehttpftpwnetsmbnetwork-spreadau3