JScript Self-Copy WScript Dropper: String Toplama Obfuskasyon, ActiveXObject WScript.Shell, Self-Persistence

Genel Bakis

Bu ornek, 1.86MB buyuklugunde rastgele isim obfuskasyonuyla gizlenmis bir JScript self-copy dropper'dir. this.abdominals = this.abdominals + "stackstand" satiri tekrar tekrar yazilarak ortaya cikan bu script, ActiveXObject("WScript.Shell") ile calisip kendini baska bir konuma kopyalayarak kalicilik saglamaktadir.

Teknik Analiz

String Toplama Obfuskasyonu

this.abdominals = this.abdominals + "stackstand";
this.abdominals = this.abdominals + "stackstand";
... (yuzlerce kez tekrar)

• Anlamli bir string parcalara bolunup birlestirilmis
• Bu teknik basit regex veya string-based AV tespitini atlar
• Nihai birlesik string, calistirilacak komut veya URL iceriyor

Self-Copy Mekanizmasi

var identifying = WScript.ScriptFullName;
var supersaliency = ovovitellin + "\" + symphyllousooo.GetFileName(identifying);
if (identifying.toLowerCase() !== supersaliency.toLowerCase()) {
    if (!symphyllousooo.FileExists(supersaliency)) {
        symphyllousooo.CopyFile(identifying, supersaliency);

• Script kendi konumunu ogrenip hedef konumda var mi kontrol ediyor
• Yoksa kendini hedef konuma kopyaliyor (kalicilik/persistence)

WScript Kabugu

• new ActiveXObject("WScript.Shell") — Windows Script Host kabugu
• var Boggesslll = new ActiveXObject("WScript.Shell") — rastgele isimli degisken
• var grungier = new ActiveXObject("WScript.Shell") — coklu WScript nesnesi
• WScript.Sleep(2000) — 2 saniye bekleme (sandbox sandbox tespiti)
• hyperglycemic = grungier.Environment("User") — kullanici ortam degiskeni okuma

Rastgele Isim Obfuskasyonu

• Degisken isimleri: abdominals, Boggesslll, hyperglycemic, symphyllousooo, ovovitellin, supersaliency
• Bu rastgele isimler, string matching tespitini zorlaştiriyor

Teknik Ozellikler

IOC Ozeti

• SHA256: e831c62f2cd0906e11e5c666a203a5ca7ffe5c34af599f45e37db397058d95f5