Emotet Epoch -- VirtualAllocEx WriteProcessMemory Proses Enjeksiyonu, GetAsyncKeyState Aktif Keylogger, InternetOpenW HttpSendRequestW HTTP C2, AdjustTokenPrivileges DuplicateTokenEx Token Hirsizligi, FPU Anti-Disassembly Analiz Direnci | Kritik

Dosya Kimliği

Emotet: Dünya'nın En Tehlikeli Botnet'i

Emotet (Heodo) — 2014'ten beri aktif
-- 2021 Ocak: Europol/FBI operasyonu ile altyapı çöktürüldü
-- 2021 Kasım: Emotet geri döndü (Trickbot altyapısıyla)
-- Epoch 4 ve 5: aktif kampanyalar süregelmekte
-- Teslimat: kötü amaçlı Word/Excel ekleri (MHTML/XLM makrolar) veya ZIP
-- Yük taşıma: QakBot, IcedID, Cobalt Strike, Ryuk, Conti gibi ikincil yükleri taşır
-- Botnet: C2 insfrastructure Tier-1/Tier-2 sunucular üzerinden çalışır

VirtualAllocEx + WriteProcessMemory: Proses Enjeksiyonu

VirtualAllocEx  (hedef proseste bellek ayır)
WriteProcessMemory  (kötü amaçlı kod yaz)

-- Emotet'in kullandığı teknik: Process Hollowing veya Classic Injection
  1. CreateProcess(hedef, SUSPENDED) → meşru Windows prosesi oluştur
  2. VirtualAllocEx(hedefPID, NULL, payloadSize, EXEC+READ+WRITE)
  3. WriteProcessMemory(hedefPID, allocAddr, payload, payloadSize)
  4. SetThreadContext veya CreateRemoteThread → payload başlat
  5. ResumeThread → proses devam eder, Emotet arka planda

-- Hedef prosesler: explorer.exe, svchost.exe, iexplore.exe
-- Amaç: kötü amaçlı kod meşru proses kimliğiyle çalışsın → AV atlatma

GetAsyncKeyState: Aktif Keylogger

GetAsyncKeyState  (tuş durumu sorgula)
GetDesktopWindow  (ekran penceresi)

-- GetAsyncKeyState loop ile tuş vuruşlarını yakala:
  while(true) {
    for (int i = 0; i < 256; i++) {
      if (GetAsyncKeyState(i) & 0x8001) {
        log_key(i);  // tuş kaydedildi
      }
    }
    Sleep(10);
  }

-- Hedef bilgiler:
  - E-posta şifreleri (Outlook, Thunderbird)
  - Banka giriş bilgileri
  - Şifre yöneticisi master şifreleri
  - Kripto cüzdan tohumlukları

-- GetDesktopWindow: ekran görüntüsü (bağlam verisi için)

Token Hırsızlığı + Yetki Yükseltme

AdjustTokenPrivileges   -- Token ayrıcalıklarını değiştir (SeDebugPrivilege!)
OpenProcessToken        -- Proses tokenini aç
OpenThreadToken         -- Thread tokenini aç
DuplicateTokenEx        -- Token kopyala (başka prosese enjekte et)
CheckTokenMembership    -- Admin grubunda mı? kontrol et
GetTokenInformation     -- Token detaylarını al

-- Akış:
  1. Mevcut token ayrıcalıklarını kontrol et
  2. SeDebugPrivilege etkinleştir (diğer proseslere debug erişimi)
  3. SYSTEM token'ını çal (lsass.exe gibi yüksek ayrıcalıklı prosesten)
  4. DuplicateTokenEx → kopyalanan SYSTEM token
  5. Token ile yeni proses başlat → tam sistem kontrolü

-- WSOCK32.dll (ham socket): HTTP katmanının altında TCP/IP ile C2 iletişimi
-- FPU Anti-Disassembly: disassembler'ları karıştıran floating point tuzakları

IOC