HVNC + AMSI/ETW Bypass .NET RAT: AmsiScanBuffer+EtwEventWrite Patch, Çift Mod Keylogger, Hackus Mail Checker Taklidi

Genel Bakış

Bu örnek, Hackus Mail Checker Reforged.exe adıyla gizlenen 381KB büyüklüğünde son derece gelişmiş bir .NET RAT'tır. HVNC (Hidden Virtual Network Computing), çevrimiçi/çevrimdışı keylogger, AMSI bypass (AmsiScanBuffer patch) ve ETW bypass (EtwEventWrite patch) gibi ileri düzey özellikleri tek bir pakette barındırmaktadır.

Teknik Analiz

HVNC (Hidden Virtual Network Computing)

• HVNC_REPLY_MESSAGE, HVNC_REPLY_BMP, HVNC_REPLY_CMP — masaüstü görüntüsü iletimi
• HVNCStop — HVNC durdurmak için komut
• Kurban farkında olmadan tam masaüstü erişimi

AMSI Bypass (AmsiScanBuffer Patch)

AmsiScanBuffer   ← patched (x86 + x64)
x86_am_si_patch / x64_am_si_patch

• Windows Antimalware Scan Interface devre dışı bırakılıyor
• Hem 32-bit hem 64-bit işlemler için ayrı patch kodu

ETW Bypass (EtwEventWrite Patch)

EtwEventWrite   ← patched (x86 + x64)
x86_etw_patch / x64_etw_patch

• Event Tracing for Windows kayıt altyapısı devre dışı bırakılıyor
• Güvenlik araçlarının aktivite log'larına karşı savunma kör edilir

Çift Modlu Keylogger

• DataLogs_keylog_offline.txt — ağ bağlantısı yokken yerel kayıt
• DataLogs_keylog_online.txt — anlık C2 aktarım modu
• GetKeyboardLayout, GetKeyboardState, CallNextHookEx, HookCallback — düşük seviye klavye hook
• KeylogMutexString, KeylogConfFile — mutex ve yapılandırma dosyası

Ek Yetenekler

• NtProtectVirtualMemory — bellek koruma manipülasyonu
• CallbackBypass — güvenlik callback bypass
• Camera — webcam erişimi
• IsAdmin — admin ayrıcalığı kontrolü
• get_RemoteEndPoint — uzak C2 endpoint
• Paste_bin — Pastebin üzerinden veri sızdırma

Gömülü Şifreli Config

YW1zaS5kbGw= → amsi.dll (AMSI DLL adı)
YO99riWCsAPXFJSPgDZB0KgYwiJxTuyHunwXNILMPjmryoZAuA8gt09+V93vI5
weKaL90G/oik+6j/Zpxbg/zQ==  ← olası C2 sertifikası/anahtar

Teknik Özellikler

IOC Özeti

• Keylog dosyaları: DataLogs_keylog_offline.txt, DataLogs_keylog_online.txt
• Gizleme adı: Hackus Mail Checker Reforged.exe
• SHA256: d6d876c7327482a6293fb5014393ace99e14aa7e0638bbda9fc602d35b8a72c9