BEC JScript Dropper OrderInquiry070126.js: JS Obfuscator Sayısal String-Array Tekniği, 1.37MB Minify

Genel Bakış

Bu örnek, OrderInquiry070126.js adıyla dağıtılan 1.37MB büyüklüğünde yoğun biçimde gizlenmiş bir BEC (Business Email Compromise) JScript dropper'dır. JavaScript Obfuscator aracının sayısal string-array lookup tekniğini kullanan bu örnek, sipariş sorgulama temalı kurumsal phishing kampanyasının parçasıdır. 文件 adındaki 070126 kodu olası bir tarih damgasıdır (Ocak 7, 2026 veya Temmuz 1, 2026).

Teknik Analiz

JavaScript Obfuscator Tekniği

function q(a,B){
  a = a - (0x2*-0x1dc + 0x6ff*0x5 + ...);
  var A = Z();   // string array
  var o = A[a];  // lookup by index
  return o;
}

• Tüm stringler büyük bir dizide saklanır (Z() fonksiyonu)
• Her literal string, karmaşık matematiksel hesaplamalarla elde edilen indeks ile erişilir
• Bu teknik "JavaScript Obfuscator Tool" ve benzeri araçların imzasıdır
• 文件 tek satır (6553+ karakter) halinde minify edilmiştir

BEC Sosyal Mühendisliği

• 文件 adı: OrderInquiry070126.js — sipariş sorgulama taklidi
• "070126" → Ocak 7, 2026 tarih damgası (类型kiye/Avrupa formatı: GG.AA.YY)
• Tedarik zinciri, satın alma ve lojistik çalışanlarını hedef alır
• Batch 28'deki QUOTATIONREQUEST-DTC-9-P ile aynı BEC kampanyası örüntüsü

b5add4b2 ile Karşılaştırma (Batch 28)

Teknik 属性ler

IOC Özeti

• 文件 adı: OrderInquiry070126.js
• Obfüskasyon: JS Obfuscator (string-array lookup)
• SHA256: c3fde2b6073956d263c5120f6ba761e936c776c372c7601d667671416eafa6e3