Malware - Yavuz Han

Radare ve Windbg Kullanarak Dump Analizi

Dump dosyasını Windbg üzerinde çalıştırıp, gerekli exe dosyasını alabilmek için SDK ile ilgili bazı değişimler yapma ve bazı eklentileri kurmanız gerekiyordu. SOS.dll, mscorwks.dll, clr.dll ve psscor4.dll dörtlüsüyle alakalı bazı problemler yaşadım. Özellikle istediğim şeyi yapabilmek için...

Analysis

APT28 - MS Ofis Macro Kod Analizi

Açıkcası yazılarımda kullandığım araçların doğru yüklenmesi ve uyum sorunlarıyla ile ilgili diğer ayrıntılarıda eklemeye gayret ediyorum. Buradaki amaç ayıntılarda boğuşup, ana konudan sapmamaya katkıda bulunmak diyebilirim.

English

[EN] Emotet malware technical analysis

When we look at the import section of the PE Bear output, based on IAT information, we can see that there are several different Window DLL is loading; ; kernel32.dll, user32.dll, gdi32.dll, advapi32.dll, shell32.dll and shlwapi.dll. We can also take a look at our malicious file on IDA Pro before

Analysis

Emotet Zararlı yazılımının teknik Analizi

Zararlı dosyamızı x64Dbg ile açıp, unpacking işlevine başlıyoruz. Zararlı dosyayı Debugger’a attığımız zaman öncelikli olarak Create Process Internal üzerinde Breakpoint koymaya gidiyoruz. Çünkü davranışsal analizimizde çalıştırdığımız dosyanın alt

English

[EN] Hermes Ransomware Technical Analysis

At the end of January 2018, the KrCERT published CVE-2018-4878 of a Adobe flash player 0-Day. According to the published vulnerability, this vulnerability exist in Adobe Flash Player 28.0.0.137 and below. The vulnerability was distributed via malicious Office documents

Analysis

Lab ortamım ve Kullandığım araçlar

Disassembler olarak birkaç farklı seçenek bulunuyor. Bunlardan ilki IDA Pro diyebilirim. Daha önceki seneler x86 desteği bulunuyordu fakat yanlış hatırlamıyorsam eğer 2017 yılı ortalarında bu desteği tamamiyle kaldırdılar. Açıkcası x64 sanal sürücü kullanmamın

Analysis

Bad Rabbit zararlı yazılımına bir bakış!!

Zararlı yazılımı ilk olarak görüntülediğimizde Flash Player güncellemesi veya yüklemesi yapan bir yürütülebilir(exe) dosya olarak karşımıza çıkıyor. Dosyayı Process Explorer üzerinden takip ettiğimizde C:\Windows dizini üzerinde belirgin oluyor ve daha sonra da diğer dizinlere dağıtılmaya başlanıyo

Analysis

Alpha Ransomware Kaynak Kod Analizi ve Unpacking - 2

AntiVM ile ilgili kod bölümüne gittiğimde VirtualBox Guest Additions ile ilgili bir kısma rastlıyoruz. Anladığım kadarıyla zararlı VB Guest Additions’ın yüklü olduğu fark ettiği andan itibaren çalışmasını durduracak. Yine aynı part içerisnde VMWare ile ilgili yüklenmiş bir tools

Analysis

Ransom32 Ransomware Saldırı Analizi

“İndex.html” içerisinde tanımlanan “binary.bin” dosyası, buradaki kötü amaçlı yazılımın kalbi konumunda yer alıyor. Burada JavaScript, native bir kod ile derleniyor ve “evalNWBin” fonksiyonunu kullanarak yükleniyor. Diğer tüm bileşenlerde bu binary dosyası içerisinden çağrılıyor.

Analysis

GoldenEye(Petya) Ransomware Saldırı Analizi

Zararlının önceki versiyonlarında yönlendirdiği gibi bu seferde yönlendirilen web sayfası benzer bir biçimde karşımıza çıkıyor. Tahmin edileceği gibi Tor üzerinde host edilmiş bir sayfada kurbanların istenilen miktarı sadece bitcoin ile ödemesi gerektiği yazıyor.