Sahte paint.net MSI Dropper: WixSharp DownloadAndExecute Custom Action ve EV Kod İmzalama

Genel Bakış

Bu örnek, meşru paint.net uygulamasını taklit eden sahte bir MSI yükleyicisidir. WixSharp çerçevesiyle oluşturulmuş bu MSI; DownloadAndExecute adlı özel bir Custom Action içermekte ve SSL Corp EV (Extended Validation) kod imzalama sertifikasıyla imzalanarak güvenlik kontrollerini atlatmaktadır.

Teknik Analiz

DownloadAndExecute Custom Action

WixSharp ile oluşturulan MSI'nin en tehlikeli bileşeni DownloadAndExecute custom action'ıdır:

Set_DownloadAndExecute_Props → DownloadAndExecute
INSTALLDIR=[INSTALLDIR];UILevel=[UILevel];ProductCode=[ProductCode];

• Yükleme sırasında uzak sunucudan payload indirilip çalıştırılır
• Hedef URL şifreli veya runtime'da belirlenmektedir (statik analizde görünmez)
• WixSharp.UI.CA.dll — Custom Action implementasyonu

UAC Bypass

• UAC_REVEALER_ENABLED=true — UAC bypass mekanizması etkin
• UAC_WARNING: "Please wait for UAC prompt to appear."
• MSI kurulumu admin yetkisiyle çalışır → payload da admin haklarıyla başlatılır

Kimlik Gizleme

• ProductName: m_20240125_140644_b96d7ba736fc49748aad5dd93b9173b9 (hash tabanlı, takip edilmesi güç)
• paint.net 4.0.5e referansı → meşru uygulama kılığı
• EV Kod İmzalama: SSL Corp (Houston, TX) — güvenilir sertifika sağlayıcısı

MSI İç Yapısı

• Framework: WixSharp (Windows Installer XML Toolset 3.11.1.2318)
• Cabinet: 6d7ba736fc49748aad5dd93b9173b9_.cab — şifreli içerik arşivi
• GUID: {06BDDFE6-82D9-488E-B418-1392D5AAF582}

Teknik Özellikler

IOC Özeti

• ProductName: m_20240125_140644_b96d7ba736fc49748aad5dd93b9173b9
• GUID: {06BDDFE6-82D9-488E-B418-1392D5AAF582}
• SHA256: a4d2138624f8eebbbd665597b1b9e7c3817c374e0e27327cf8acf1b5c57a4b10