WshRAT -- TTCOPYREF251088.vbs VBS Takip Numaralı Teslimat, jcYlyhzds...QqoK Çok Uzun Karakter Rastgele Değişken Adı Obfuskayon, Dize Birleştirme Şifreli Payload Rekonstrüksiyon | Orta

Manuel Statik Analiz — WshRAT | Tehdit: MOYEN

Fichier Kimliği

SHA256	`3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8`
Nom du fichier	TTCOPYREF251088.vbs (Takip Referanslı VBS Teslimat!)
Taille	1.828.708 byte (1.74MB)
String Sayisi	213 (yüksek obfuskasyon)

TTCOPYREF251088.vbs: Takip Numaralı VBS Teslimat

TTCOPYREF251088.vbs
-- "TT" = Freight/kargo prefix (DHL TT numarası formatı!)
-- "COPYREF" = Copy Reference (belge referans kopyası)
-- "251088" = referans numarası (tarih formatı: 25/10/88?)
-- ".vbs" = VBScript (Windows Script Host tarafından çalıştırılır)
-- Teslimat senaryosu: kargo/kurye takip referanslı e-posta eki
  - "Gönderi bilgilerinizi görmek için eki açın"
  - Windows: .vbs dosyaları çift tıkla doğrudan çalışır
-- 1.74MB VBS: payload inline base64/string obfuskasyon içeriyor

jcYlyhzds...QqoK: Aşırı Uzun Rastgele Değişken Adı Obfuskasyonu

OBFUSKASyon TEKNİĞİ: Değişken adları analizi zorlaştırıyor!

jcYlyhzdsjCoseSkpwVLhJnPZKnbEqdkMseQQqoK = jcYlyhzdsjCoseSkpwVLhJnPZKnbEqdkMseQQqoK & ...
-- 40+ karakter rastgele büyük/küçük harf değişken adı
-- VBScript obfuskasyon: AV regex pattern'larını atlatmak için
  - "jcYlyhzdsjCoseSkpwVLhJnPZKnbEqdkMseQQqoK" = string buffer
  - " = değişken & " = string birleştirme (VBS string join)
-- Teknik: payload yüzlerce parçaya bölünmüş, runtime'da birleşiyor
-- Analiz zorluğu: 213 string → gerçek payload tek değişkende birleşiyor
-- WshRAT: "Windows Scripting Host RAT"
  - VBS/JS/WSF dosyaları aracılığıyla dağıtım
  - WScript.Shell üzerinden komuta bağlanma
  - Keylogger, screenshot, download/upload yetenekleri

IOC

SHA256	`3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8`
Lure	TTCOPYREF251088.vbs

WshRAT — Profil du malware

WshRAT Windows Scripting Host RAT. TTCOPYREF VBS cargo tracking delivery. Long random variable obfuscation. String concatenation payload reconstruction.

Type de malware

RAT

Langage de programmation

VBScript

Protocole C2

TCP/HTTP

Systèmes ciblés

Küresel

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (1 indicateurs)

IOC — WshRAT

# SHA256
3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8

Type	Valeur	Note
sha256	3df4108529c93e8f2b1dcba6f72af5c89e341fc2a7a6985db42c96e803f4c1d8

WshRAT — Voir le profil complet →