Emotet 32-bit DLL Payload: Sifrelenmis C2, Moduler Mimari, Ikincil Yuk Yukleyici

Genel Bakis

Bu ornek, dosya adi EmotetPayload32-bitDL olarak etiketlenmis 333KB buyuklugunde bir Emotet 32-bit DLL Payload'dir. Emotet, 2014'ten bu yana aktif olan, dunya genelinde bankaci trojan, spam gonderici ve ikincil payload yukleyici olarak kullanilan en tehlikeli malware ailelerinden biridir. FBI ve CISA tarafindan pek cok kez kritik tehdit olarak siniflandirilmistir.

Emotet Hakkinda

• Ilk olarak 2014'te bankacilik trojan olarak ortaya cikti
• Sonraki surumler: spam botnet, dropper/loader, C2 moduler mimarisi
• 2021'de Europol operasyonuyla cokertildi; 2021 sonunda yeniden aktif
• 2022-2023: Epoch 4 ve Epoch 5 olarak iki farkli C2 altyapisinda
• Ikincil yuk: TrickBot, QakBot, Cobalt Strike, ransomware

Teknik Analiz

DLL Payload Ozellikleri

• Format: PE32 GUI Intel 80386 (32-bit DLL)
• 大小: 333.312 bayt
• Entropi: 6.68 (normal)
• Section sayisi: 5 (.text, .data, .idata, .rsrc, .reloc)

Gizleme Teknigi

• Tum anlamli string'ler sifrelenmis/obfuske
• Gorunen stringler yalnizca Windows CRT kayit mesajlari (connection refused, not_a_socket, text file busy)
• Locale stringleri (zh-CHT, syr-SY, sr-BA-Cyrl, ti-ET, st-ZA) — locale-based obfuscation
• Export tablosu bos (cagri adresleri runtime'da cozulur)

Emotet C2 架构si (Genel)

• C2 adresleri sifrelenmis PE kaynaginda sakli (RSA + custom encoding)
• Moduler mimari: spam, spreader, loader, credential harvester modulleri
• HTTPS + port cesitliligi (7080, 8080, 443, 80)
• Process injection: svchost.exe veya Windows islemleri icine

Teknik Ozellikler

IOC Ozeti

• SHA256: ce742b7cc94a5c668116d343b6a9677523dc13b358294bba3cd248fba8b880da
• 文件: EmotetPayload32-bitDL