ModiLoader2 -- TFG0890000001.exe Lojistik Sevkiyat Kodu Lürü, Microsoft.TeamFoundation Azure DevOps SDK Gömülü, MySql.Data.MySqlClient MySQL Bağlantısı Alışılmadık C2 Kanal | Orta

Dosya Kimliği

TFG0890000001.exe: Lojistik Sevkiyat Kodu Lürü

TFG0890000001.exe
-- "TFG" = lojistik şirketi kodu veya fatura prefix
-- "0890000001" = 10 haneli seri numara (önde sıfırlar)
-- Format: [3 harf][10 rakam].exe = kurumsal belge formatı
-- Teslimat lürü: "sevkiyat belgesi", "nakliye irsaliyesi"
  - Lojistik sektörü çalışanları → TFG numaralı belgeler bekliyor
  - E-posta ekinde .exe → "belgeyi açmak için..." tuzağı

Microsoft.TeamFoundation.WorkItemTracking: Azure DevOps SDK Gömülü

Microsoft.TeamFoundation.WorkItemTracking.Client
Microsoft.TeamFoundation.WorkItemTracking.Common
Microsoft.TeamFoundation.WorkItemTracking.Common.DataStore
Microsoft.TeamFoundation.WorkItemTracking.Common.Provision
WorkItemStore
WorkItemType
WorkItemTypeCollection
WorkItemLinkType
get_WorkItemTypes
LoadFieldIdsByWorkItemType
-- Team Foundation Server = Microsoft'un ALM/DevOps platformu
-- "WorkItemTracking" = proje yönetimi iş öğesi takip modülü
-- ModiLoader bu kütüphaneyi neden gömüyor?
  - Meşru trafik kanalı: Azure DevOps → şirket firewall'larından geçer!
  - C2 mekanizması: Azure DevOps work item'ları → komutlar oluşturuluyor
  - Kurban → Azure DevOps API → saldırgan controlled project
  - Bu teknik: BazarLoader'ın Google Docs kullanmasına benzer!
  - "WorkItemStore.Query()" = C2'den komut çekme olabilir

MySql.Data.MySqlClient: MySQL .NET Konnektörü

MySql.Data
MySqlConnection
MySql.Data.MySqlClient
-- MySQL .NET Connector gömülü!
-- Olası kullanım:
  1. Yerel veri kalıcılığı: çalınan kimlik bilgileri yerel DB'ye kaydediliyor
  2. Uzak MySQL C2: saldırganın MySQL sunucusuna doğrudan bağlanıyor
  3. Hedef ağda MySQL sunucu saldırısı
-- Azure DevOps + MySQL kombinasyonu → çift C2 kanalı:
  - Azure DevOps: komut alımı (meşru görünümlü)
  - MySQL: veri gönderimi (hızlı, şifreli değil ama direkt)

IOC