QuasarRAT -- prick.exe Geliştirici Hakaret İsmi, SysNtQuerySystemInformation2-3 Doğrudan Syscall, SharpDX StartScreenStreaming DirectX Ekran Yakalama, DOMAIN_PASSWORD Kimlik Bilgisi Hırsızlığı | Kritik

Dosya Kimliği

prick.exe: Geliştirici Hakaret Dosya Adı

prick.exe
-- "prick" = İngilizce hakaret kelimesi (British slang)
-- Dridex3 analizi: "fromChrome9September9" + "boobs" + "bullshit" developer profanity
-- Bu örüntü: saldırganlar test binary'lerine hakaret/informal isim kullanıyor
-- "prick.exe": dağıtım sırasında değiştirilen ama PDB içinde saklanan orijinal ad
-- Geliştirici tavrı: hedefleri hafife alan rahat yaklaşım

SysNtQuery*2/3: Çoklu Doğrudan Syscall Paketleri

SysNtQuerySystemInformation2    -- sistem bilgisi syscall (2. versiyon)
SysNtQueryInformationProcess2   -- süreç bilgisi syscall (2. versiyon)
SysNtQuerySystemInformation3    -- sistem bilgisi syscall (3. versiyon)
SysNtQueryInformationProcess3   -- süreç bilgisi syscall (3. versiyon)
SysNtQueryInformationThread     -- iş parçacığı bilgisi syscall
SysNtClose                      -- handle kapatma syscall
-- "SysNt" prefix = SysWhispers/D/Invoke tarzı doğrudan syscall wrapper'ı
-- Doğrudan syscall: ntdll.dll'e çağrı YAPMAZ → EDR hook'larını atlar!
-- "2" ve "3" versiyonları: farklı çağrı sözleşmeleri (x86/x64 kompatiblite)
-- QuasarRAT: userland API'leri tamamen bypass ediyor → stealth artışı
-- SysWhispers2: popüler syscall framework → QuasarRAT'a entegre edilmiş

SharpDX + StartScreenStreaming: DirectX Ekran Yakalama

costura.sharpdx.pdb.compressed
costura.sharpdx.direct3d11.pdb.compressed
costura.sharpdx.dxgi.pdb.compressed
<StartScreenStreaming>b__26_0
<StartScreenStreaming>b__18_0
<DisableScreensaver>b__22_0
-- SharpDX: C# DirectX wrapper kütüphanesi (ekran yakalama için!)
-- "SharpDX.Direct3D11" = DirectX 11 API bağlantısı
-- "SharpDX.DXGI" = DirectX Graphics Infrastructure (ekran kopyalama!)
-- "StartScreenStreaming" = canlı ekran akışını başlatır!
  - DXGI Desktop Duplication API: GPU ile doğrudan ekran kopyalama
  - AV'den kaçma: GPU operasyonu → CPU tabanlı AV taraması görmez
-- "DisableScreensaver" = ekran koruyucusunu devre dışı bırak
  - Saldırgan ekranı izlemeyi garantiliyor
-- costura: Costura.Fody ile SharpDX gömülü (bağımlılık olmadan çalışır)

DOMAIN_PASSWORD + GetPasswordsResponse: Kimlik Bilgisi Hırsızlığı

DOMAIN_VISIBLE_PASSWORD    -- Windows Kimlik Bilgisi Yöneticisi tipi
DOMAIN_PASSWORD            -- etki alanı şifre kimlik bilgisi tipi
<Passwords>b__0            -- şifre koleksiyonu lambda
<GetPasswords>b__0         -- şifre alma lambda
GetPasswordsResponse       -- C2'ye şifre yanıtı
GetKeyloggerLogsDirectoryResponse  -- keylogger log dizini yanıtı
-- "DOMAIN_PASSWORD": Windows CredMan CRED_TYPE_DOMAIN_PASSWORD enum değeri
-- QuasarRAT: Windows Credential Manager etki alanı şifrelerini çalıyor
-- "DOMAIN_VISIBLE_PASSWORD": görünür parola (daha zayıf şifreleme)
-- GetKeyloggerLogsDirectoryResponse: keylogger log dizinini C2'ye gönder
-- Tam yetenek: ekran yakalama + keylogger + şifre hırsızlığı + domain creds

IOC