QuasarRAT -- prick.exe Kaba Adlı Binary, DHwidFDFPwjuob Mutex, SysNtQuery Syscall Anti-Debug | Orta

Dosya Kimliği

Kaba Dosya Adı: Geliştirici Davranışı

prick.exe
-- İngilizce argo/kaba kelime kullanımı
-- Geliştirici test binary'lerinde görülen agresif isimlendirme
-- SmokeLoader (autoruns.exe), PrivateLoader (sysmon.exe) → farklı strateji
-- Bu örnek hiç gizleme yapmıyor: iç test veya test binary sızdı

Syscall Seviyesi Anti-Debug

SysNtQuerySystemInformation2   -- sistem bilgisi syscall
SysNtQueryInformationProcess2  -- process bilgisi syscall
-- "Sys" prefix = NtDll bypass → doğrudan syscall instruction!
-- Windows API hook'larını atlıyor (EDR bypass!)
-- Syscall numaraları dinamik resolve: NTDLL'den okunuyor
-- Normal WinAPI: kernel32 → ntdll → syscall
-- Bu: doğrudan syscall → ntdll bypass → EDR kör!

Şifrelenmiş Kimlik Bilgisi Alanları

DHwidFDFPwjuob              -- QuasarRAT instance mutex (benzersiz!)
<EncryptedPassword>k__BackingField  -- .NET property backing field
<EncryptedUsername>k__BackingField  -- .NET property backing field
-- QuasarRAT kimlik bilgilerini şifrelenmiş property'de saklıyor
-- k__BackingField = C# auto-property compiler üretimi

IOC