HTA Phishing: QUOTE-05348-2026.pdf.hta — Sahte Fatura, InternalCache ve Ortam Degiskeni Obfuskasyon

Genel Bakış

Bu örnek, sahte bir iş teklifi faturası gibi görünen QUOTE-05348-2026.pdf.hta adlı HTA (HTML Application) phishing dosyasıdır. Gerçek bir PDF değil; çift uzantı hilesi ile kullanıcıları kandırmaktadır. İçeride InternalCache adlı gizli HTA uygulaması barındırır ve ortam değişkeni tabanlı karmaşık bir obfüskasyon yöntemiyle PowerShell payload'ını çalıştırır.

Teknik Analiz

HTA Yapısı

<hta:application
    id="oHTA"
    applicationname="InternalCache"
    border="none"
    caption="no"
    showintaskbar="no"
    windowstate="minimize"
/>

• Pencere başsız ve gizli başlatılır (showintaskbar="no", windowstate="minimize")
• Pencere ekranın görünmez alanına taşınır: window.moveTo(-2000, -2000)
• Boyut sıfıra indirgenmiş: window.resizeTo(0, 0)

Ortam Değişkeni Tabanlı Obfüskasyon

Payload, her biri 30.000 karakter olan parçalara bölünerek kullanıcı ortam değişkenlerine (P1, P2, P3...) saklanır:

var pythiads = 30000;  // chunk boyutu
var Ustinov = intussuscepted.Environment("User");
Ustinov(keypunch) = flavoured.substring(sharpnails - 1, sharpnails - 1 + pythiads);
cover += "$env:" + keypunch + "+";

Ardından bir PowerShell komutu oluşturulup tüm parçalar birleştirilerek çalıştırılır.

Şifre Çözme Anahtarı

• AES anahtarı/parolası: "MqVI5ZYptsWhg4UT" (sabit hardcoded)
• Payload önce AES ile çözülüp ardından yürütülüyor

Anti-Analiz

• WScript.Sleep(2000) — sandbox tespiti için 2 saniyelik gecikme
• Obfüskasyon: karakter dizilerinden bazıları run-time'da string.replace() ile ekleniyor

Sosyal Mühendislik

• Dosya adı: QUOTE-05348-2026.pdf.hta — kurumsal fatura/teklif taklit
• Çift uzantı: Windows'ta dosya uzantıları gizlendiğinde QUOTE-05348-2026.pdf gibi görünür
• E-posta ekinde gönderildiği düşünülmektedir

Teknik Özellikler

IOC Özeti

• Dosya adı: QUOTE-05348-2026.pdf.hta
• HTA App Adı: InternalCache
• AES Şifre: MqVI5ZYptsWhg4UT
• SHA256: 9fa0a88635b1c1d31ccf0fa03f7616ee716e8b5d26ff55064bf894212d5e10f1