Meduza Stealer -- RUN.exe, @c2/$ C2 Yolu, NtQuerySystemInformation+NtQueryInformationProcess | Orta

Dosya Kimliği

Generik RUN.exe Kılığı

RUN.exe
-- Maksimum generik isim → kayıp dosyalar arasında gizlenir
-- "RUN" = çalıştır → sosyal mühendislik talimatıyla dağıtılıyor
-- "RUN.exe dosyasını çalıştır" talimatı ile phishing/courier fraud

C2 URL Yolu: @c2/$

@c2/$
-- C2 URL yapısı: http(s)://[IP veya domain]/@c2/$
-- "@" karakteri URL'de kullanıcı adı ayrımcısı (bypass girişimi?)
-- "$" = PHP değişken prefix veya endpoint marker
-- Meduza obfuskated C2 URL formatı: IP adresi şifreli, sadece path görünüyor

IP Adres Obfuskasyon Dizileri

ipBU7    -- "ip" prefix + obfuskated değer
BfglIp   -- karıştırılmış "ip" içeren string
aIp05    -- "Ip" (büyük P) içeren token
-- Meduza C2 IP adresini XOR/RC4 ile şifreli tutar
-- Runtime'da decode edilip socket bağlantısı kurulur
-- Statik analizde IP/domain görünmez → evasion başarılı

NT API Anti-Analiz

NtQuerySystemInformation    -- kernel debug + CPU bilgisi
NtQueryInformationProcess (ntdll.dll) -- ProcessDebugPort
-- ntdll.dll'den direkt NT API çağrısı → EDR hook bypass

Meduza Stealer Hakkında

Meduza Stealer 2023'te Rus yeraltı forumlarında satışa çıktı. Tarayıcı şifreleri, kripto cüzdanları, 2FA authenticator veritabanları, VPN/FTP credentials, oyun hesapları hedef alır. Chrome, Firefox, Opera, Edge, Brave destekler. Discord, Telegram, Steam hesaplarını çalar. C++ ile yazılmış, packer/crypter ile dağıtılır.

IOC