CMD Obfüskasyonlu BAT Dropper #2: nhiOvXUvZJiCxXCZWchh Null Variable, Gecikmiş Genişletme, Admin Kontrolü

Genel Bakış

Bu örnek, 310KB büyüklüğünde başka bir ağır obfüske edilmiş Windows Batch (BAT) dropper'dır. Boş değişken genişletme (%nhiOvXUvZJiCxXCZWchh%) ve gecikmiş genişletme (!variable!) tekniklerini birleştirerek gerçek komutları gizlemektedir. Bu teknik, batch 26'da gördüğümüz 9619a5ea örneği ile aynı obfüskasyon şemasını paylaşmakta; ancak farklı null variable isimleri kullanılmaktadır — olası aynı kit kaynağı.

Teknik Analiz

Null Variable + Gecikmiş Genişletme Obfüskasyonu

@echo off
%nhiOvXUvZJiCxXCZWchh%s%nhiOvXUvZJiCxXCZWchh%e%nhiOvXUvZJiCxXCZWchh%t...
→ setlocalenableDelayedExpansion

set "BLHQHOvGifiyiXvJtUOA=s"
set "aCOFJAscSLbKPjppAmuK=t"
set "iXjSjYtzIqwuQVkATRwD=!BLHQHOvGifiyiXvJtUOA!e!aCOFJAscSLbKPjppAmuK!"
!iXjSjYtzIqwuQVkATRwD! "EEHFwuaLqq=net "
!iXjSjYtzIqwuQVkATRwD! "JVJdzEmpMX=file"

Null variable: %nhiOvXUvZJiCxXCZWchh% (tanımsız → boş genişler)
Bu sayede setlocalenableDelayedExpansion komutu karakterlere bölünüyor
İkinci aşamada değişkenler tek harflik parçalar içeriyor ve !var! ile birleştiriliyor
net file komutu admin kontrolü için kullanılıyor

9619a5ea ile Karşılaştırma

Özellik	9619a5ea (Batch 26)	bb61e58f (Bu Örnek)
Boyut	1.7 MB	310 KB
Null Variable	KcxvgDTeQgRudRIloeqX	nhiOvXUvZJiCxXCZWchh
Teknik	%NULL%c + !var!	%NULL%c + !var!
Kit Kaynağı	Olası aynı araç	Olası aynı araç

Teknik Özellikler

Özellik	Değer
Format	Windows BAT (DOS Batch)
Boyut	310.054 bayt
Null Variable	nhiOvXUvZJiCxXCZWchh
İkinci Aşama	Gecikmiş genişletme (!var!)
Admin Kontrolü	net file > nul 2>&1

IOC Özeti

Null Variable: nhiOvXUvZJiCxXCZWchh
SHA256: bb61e58f11e979f287a40449ddb0172abbe28c96b2c04a6b3560a3f6d536539d

IOC List (1 indicators)

IOC — BAT Loader

# SHA256
bb61e58f11e979f287a40449ddb0172abbe28c96b2c04a6b3560a3f6d536539d

Type	Value	Note
sha256	bb61e58f11e979f287a40449ddb0172abbe28c96b2c04a6b3560a3f6d536539d