.NET Dropbox Dropper: Pass.exe İndirme, DisableCMD ve Ping Self-Delete Tekniği

Genel Bakış

Bu örnek, Dropbox CDN altyapısını kötüye kullanarak Pass.exe adlı ikincil payload'ı indiren bir .NET Dropper'dır. Küçük boyutu (37KB) ve MD5+Base64 kullanımıyla basit fakat etkili bir ikinci aşama indiricisidir. Güvenlik analistlerini tespit etmek için processhacker kontrolü ve DisableCMD mekanizması içermektedir.

Teknik Analiz

Dropper Mekanizması

• İndirme URL'si: https://dl.dropbox.com/s/p84aaz28t0hepul/Pass.exe?dl=0
• Dropbox'ın güvenilir CDN'ini kullanarak ağ filtrelemesini atlatır
• DownloadFile / DownloadData → .NET WebClient ile indirme

C2 / Kontrol IP

• Gömülü IP: 155.117.183.181
• System.Net.Sockets — TCP socket bağlantısı

Güvenlik Araçlarına Karşı Önlemler

• processhacker string'i — Process Hacker çalışıyor mu kontrol
• DisableCMD / EnableCMD — cmd.exe'yi devre dışı bırakır (kullanıcı analizi engelleme)

İz Silme / Self-Delete

cmd.exe /k ping 0 & del "[dropper_path]"

• Ping gecikmesi kullanılarak dropper kendini siler
• taskkill /F /IM PING.EXE — ping işlemi tamamlandıktan sonra sonlandırılır

Kriptografi

• MD5CryptoServiceProvider — payload doğrulama veya obfüskasyon
• FromBase64String / ToBase64String — Base64 kodlu veriler

Dropped Binary İsimleri

• w.exe — kısa, dikkat çekmeyen isim
• server.exe — gizlenmiş C2 client
• Exsample.exe — yazım hatası ("Example" yerine — geliştirici hatası)

Teknik Özellikler

IOC Özeti

• URL: https://dl.dropbox.com/s/p84aaz28t0hepul/Pass.exe?dl=0
• IP: 155.117.183.181
• SHA256: 905904c9eba8a60eb560d1d48c62be917ce9c64072a2727cbd6340e438db1cb0