BEC JScript Dropper OrderInquiry070126.js: JS Obfuscator Sayısal String-Array Tekniği, 1.37MB Minify

Genel Bakış

Bu örnek, OrderInquiry070126.js adıyla dağıtılan 1.37MB büyüklüğünde yoğun biçimde gizlenmiş bir BEC (Business Email Compromise) JScript dropper'dır. JavaScript Obfuscator aracının sayısal string-array lookup tekniğini kullanan bu örnek, sipariş sorgulama temalı kurumsal phishing kampanyasının parçasıdır. Dosya adındaki 070126 kodu olası bir tarih damgasıdır (Ocak 7, 2026 veya Temmuz 1, 2026).

Teknik Analiz

JavaScript Obfuscator Tekniği

function q(a,B){
  a = a - (0x2*-0x1dc + 0x6ff*0x5 + ...);
  var A = Z();   // string array
  var o = A[a];  // lookup by index
  return o;
}

Tüm stringler büyük bir dizide saklanır (Z() fonksiyonu)
Her literal string, karmaşık matematiksel hesaplamalarla elde edilen indeks ile erişilir
Bu teknik "JavaScript Obfuscator Tool" ve benzeri araçların imzasıdır
Dosya tek satır (6553+ karakter) halinde minify edilmiştir

BEC Sosyal Mühendisliği

Dosya adı: OrderInquiry070126.js — sipariş sorgulama taklidi
"070126" → Ocak 7, 2026 tarih damgası (Türkiye/Avrupa formatı: GG.AA.YY)
Tedarik zinciri, satın alma ve lojistik çalışanlarını hedef alır
Batch 28'deki QUOTATIONREQUEST-DTC-9-P ile aynı BEC kampanyası örüntüsü

b5add4b2 ile Karşılaştırma (Batch 28)

Özellik	b5add4b2 (Batch 28)	c3fde2b6 (Bu Örnek)
Dosya Adı	QUOTATIONREQUEST-DTC-9-P	OrderInquiry070126.js
Boyut	4.4 MB	1.37 MB
Obfüskasyon	Unicode CJK karakter ikamesi	JS sayısal string-array
Tema	Teklif talebi	Sipariş sorgulama
Dil	JScript	JavaScript

Teknik Özellikler

Özellik	Değer
Format	JavaScript (ASCII text)
Boyut	1.377.851 bayt (1.37MB)
Obfüskasyon	JS Obfuscator sayısal string-array (function q/Z)
Satır Uzunluğu	6553+ karakter (tek satır minify)
Kamuflaj	OrderInquiry070126 (BEC sipariş sorgulama)
Kampanya	Batch 28 QUOTATIONREQUEST ile aynı seri

IOC Özeti

Dosya adı: OrderInquiry070126.js
Obfüskasyon: JS Obfuscator (string-array lookup)
SHA256: c3fde2b6073956d263c5120f6ba761e936c776c372c7601d667671416eafa6e3

IOC List (1 indicators)

IOC — JScript BEC Dropper

# SHA256
c3fde2b6073956d263c5120f6ba761e936c776c372c7601d667671416eafa6e3

Type	Value	Note
sha256	c3fde2b6073956d263c5120f6ba761e936c776c372c7601d667671416eafa6e3