SectopRAT -- GARDEN.ps1 PowerShell, locationPhysicians4230.su Sovyet C2, NeckImport Retry Döngüsü, 80 Karakter Auth Token | Yüksek

文件 Kimliği

locationPhysicians4230.su: Sovyet TLD C2

locationPhysicians4230.su
-- ".su" = Sovyet Birliği TLD (1990'dan itibaren hâlâ aktif)
-- "locationPhysicians" = doktor konum servisi taklidi
-- "4230" = rastgele numara (DGA-vari)
-- .su TLD: Rusya bağlantılı siber suçlular tarafından tercih edilir
-- Domain registrar takibi zor → uzun süre aktif kalabilir

Kimlik Doğrulama Tokenleri

LNaE9KsyhcWralNxyx9cmiRy2TdkkNblmrWrsPHNiwMICujG2oYiHnEr5R8cylqUN5HLr422FJ78AOu0
sVbhz1/7CclKSb0lc2w6hfw2dXiW7g51TCmLpzrD3T3gQCrSVUU1nEg0EPS/0ixizvgaUPRYMuAyTqnT
-- 80+ karakter karışık token'lar → C2 kimlik doğrulama
-- "/" içeriyor → Base64 kodlu değer (standart Base64 alphabet)
-- Her agent için benzersiz: parmak izi veya erişim anahtarı
-- Token doğrulama: C2 sunucusu → "Bu agent geçerli mi?" kontrolü

$NeckImport Retry Döngüsü

Set-StrictMode -Version 2
$NeckImport = 0; while ($NeckImport -lt 3) { $ContinentalIc[...]
-- "$NeckImport" = obfuscated sayaç değişkeni (0'dan başlar)
-- "while ... -lt 3" = 3 kez dene (network retry)
-- "$ContinentalIc" = obfuscated ikinci değişken
-- SectopRAT: C2 bağlantısı başarısız olursa 3 kez tekrar dener
-- PowerShell retry mantığı → C2 anlık kapalıysa bile bekler

IOC