NETDropper Facturaelectriccorrespo -- XZvu.exe Gomulu PE Payload, Entropi 7.90 Maksimum Paketleme, TAes AES Sifreleme Kaniti, mscoree.dll Tek Import Pure NET Binary | Yuksek

Dosya Kimliği

"Factura" Kurbansal Lür

"Facturaelectriccorrespo" = "Factura" (İspanyolca: fatura) + "electriccorrespondence"
-- İspanyolca fatura yazışma lürü
-- Hedef bölge: Latin Amerika veya İspanya
-- Teslimat: E-posta eki (ZIP dosyası → zararsız görünüm)
-- Açma sonrası: .NET dropper çalışır
-- Sosyal mühendislik: "Elektrik faturası yazışması" → kurban açar

XZvu.exe: Gömülü PE Payload

XZvu.exe  (x3 görünüm — embedded executable)
-- "XZvu": obfuskeli rastgele isim
-- .NET Resource içinde saklanmış → çalışma zamanında çıkarılır
  System.Resources.ResourceManager.GetObject("XZvu")
  → byte[] → File.WriteAllBytes(tempPath + "XZvu.exe", bytes)
  → Process.Start("XZvu.exe")
-- Gömülü PE'nin içeriği: yüksek entropi nedeniyle statik analiz edilemiyor
  Olası içerik: AgentTesla, AsyncRAT, FormBook, LokiBot veya özel RAT
-- System.Drawing.Bitmap: imaj içinde payload gizlenmiş olabilir (steganografi)

TAes!: AES Şifreleme Kanıtı

"TAes!" string parçası
-- .NET'te AES sınıfı: System.Security.Cryptography.Aes
-- "TAes!" = AES kullanımını gizleyen obfuskeli referans
-- Olası kullanım:
  1. XZvu.exe payload'ı AES ile şifreli kaynakta saklanmış
  2. C2 iletişimi AES şifreli
  3. Konfigürasyon bloğu AES ile korumalı

-- Entropi 7.90 + AES referansı: tüm payload şifreli kaynakta saklanmış
-- .NET'te standart pattern:
  using Aes aes = Aes.Create();
  aes.Key = Convert.FromBase64String(hardcodedKey);
  aes.IV = Convert.FromBase64String(hardcodedIV);
  byte[] decrypted = aes.DecryptCbc(encryptedPayload, aes.IV);
  File.WriteAllBytes("XZvu.exe", decrypted);

IOC