BEC JScript Dropper: QUOTATIONREQUEST-DTC-9-P, 4.4MB Unicode CJK Obfüskasyonlu Kurumsal Teklif Taklidi

Genel Bakış

Bu örnek, kurumsal satın alma süreçlerini taklit eden QUOTATIONREQUEST-DTC-9-P adıyla dağıtılan 4.4MB büyüklüğünde aşırı obfüske edilmiş bir BEC (Business Email Compromise) JScript Dropper'dır. Unicode CJK (Çince/Japonca/Korece) karakterleri ve çok dilli Unicode blokları kullanarak hem statik analizi hem de string tabanlı tespiti engelleyen çok katmanlı bir obfüskasyon tekniği içermektedir.

Teknik Analiz

BEC Sosyal Mühendisliği

• Dosya adı: QUOTATIONREQUEST-DTC-9-P — kurumsal teklif talebi taklidi
• "DTC" → Department/Division/Data Technology Company kısaltması izlenimi
• Tedarik zinciri, finans veya satın alma departmanı çalışanlarını hedef alır

CJK Unicode Obfüskasyon Tekniği

Bu dropper'ın en dikkat çekici özelliği çok katmanlı Unicode obfüskasyonudur:

• Rastgele uppercase değişken adları: VQFRAZPGFWKYWYRY
• Gömülü CJK karakterleri (丁乃之乌亀亠亰仓仁仅仆仇仈仌仍从仏仐仑仒仓仔仕仗…)
• Çok dilli karıştırma: Taylandca (หᏓ), Etiyopya (ቔ), Thaana, Tibetçe Unicode blokları
• CJK blokları görsel olarak ASCII'ye benziyor ama farklı kod noktaları kullanıyor

JScript Teknik Yapısı

var VQFRAZPGFWKYWYRY = "...CJK obfüsasyon...";
// Her CJK karakteri birer rakama veya harfe map edilmiş
// Onların birleşimi gerçek payload'ı oluşturuyor

Dosya Boyutu ve Payload

• 4.4 MB JScript dosyası → 4.5M karakterlik obfüskasyon kütlesi
• Gerçek çalışan kod yalnızca birkaç KB
• Çok satır uzun string değişkenler (max satır uzunluğu: 2028 karakter)

Teknik Özellikler

IOC Özeti

• Dosya adı: QUOTATIONREQUEST-DTC-9-P
• SHA256: b5add4b2a280e4e59eea05f553833a0e9a314a76106dd7c346a4b37b2255ae73