Genel Bakış

LiveDriveHollow, livedrivefiles.com/uploads adresine çalınan verileri yükleyen ve Process Hollowing tekniğiyle gizlenen bir x64 DLL'dir. Rastgele isimli (WAKOUT57QUTSUKA.dll) bu bileşen; BCrypt API'si ile şifrelenmiş iletişim, NtUnmapViewOfSection tabanlı process hollowing ve WTS token impersonation gibi ileri seviye teknikler kullanmaktadır.

Teknik Analiz

C2 Yükleme Altyapısı

DLL, çalınan verileri HTTP üzerinden şifreleyerek iletmektedir:

  • Yükleme Endpoint: https://livedrivefiles.com/uploads
  • API Formatı: OData metadata yapısı (odata.metadata)
  • İçerik 类型ü: Content-Type başlığı ile multipart/form-data

Process Hollowing Zinciri

DLL, aşağıdaki Windows API'leri aracılığıyla klasik process hollowing gerçekleştirmektedir:

  1. CreateProcessW / CreateProcessAsUserW — Askıya alınmış süreç oluşturma
  2. NtUnmapViewOfSection — Hedef sürecin belleğini boşaltma
  3. VirtualAlloc — Yeni bellek alanı tahsisi
  4. RtlCreateProcessParametersEx — Süreç parametrelerini yeniden oluşturma

Şifreli İletişim (BCrypt API)

  • BCryptOpenAlgorithmProvider — Şifreleme algoritması başlatma
  • BCryptSetProperty — Anahtar ve IV yapılandırması
  • BCryptEncrypt / BCryptDecrypt — Veri şifreleme/çözme
  • BCryptDestroyKey — Anahtar temizleme

Token İmpersonation

  • WTSQueryUserToken — Terminal servisi oturumundan token alma
  • DuplicateTokenEx — Yetkili token klonlama
  • CreateProcessAsUserW — Yükseltilmiş yetkiyle süreç başlatma
  • CryptStringToBinaryA / CryptBinaryToStringA — Kriptografik dönüştürme

Export Analizi

DLL içe aktarma tablosunda SystemFunction001 exportu (RC4 şifreleme için Windows yerleşik fonksiyonu) bulunmaktadır. Bu, DLL'in içeride RC4 kullandığına işaret etmektedir.

Anti-Analiz

  • Rastgele DLL ismi: WAKOUT57QUTSUKA.dll
  • _RDATA section (şüpheli isim, küçük boyut)
  • Entropy: 6.31 (normal görünüm için optimize edilmiş)

Teknik 属性ler

属性值
架构PE32+ DLL (x86-64)
大小553.030 bayt
TLSMevcut (fonksiyon yok)
EnjeksiyonProcess Hollowing (NtUnmapViewOfSection)
ŞifrelemeBCrypt + RC4 (SystemFunction001)
C2livedrivefiles.com/uploads

IOC Özeti

  • C2 URL: https://livedrivefiles.com/uploads
  • DLL İsmi: WAKOUT57QUTSUKA.dll
  • SHA256: 6b33d20196267b0d64bca815ca863558d26b17cee77caf62a6cce8eae555ac8d

IOC列表 (3 个指标)

IOC — HollowLoader
# SHA256 6b33d20196267b0d64bca815ca863558d26b17cee77caf62a6cce8eae555ac8d # DOMAIN livedrivefiles.com # URL https://livedrivefiles.com/uploads
类型值备注
sha256 6b33d20196267b0d64bca815ca863558d26b17cee77caf62a6cce8eae555ac8d
domain livedrivefiles.com
url https://livedrivefiles.com/uploads
标签
dllprocess-hollowingntunmapviewofsectionbcryptuploadtoken-impersonationsystemfunction001wts