SMBWorm2 Work_Report_2026 -- 196.251.107.104 Payload Sunucu Uc Ayri EXE Indirme, NetShareEnum NetServerEnum SMB Yayilma, Global dsfdsoijbvoxiUHUokpoCVS9XVF848 Mutex, Work_Report_2026.pdf.lnk LNK Enfeksiyon Vektoru | Kritik

Dosya Kimliği

196.251.107.104: Payload Dağıtım Sunucusu

http://196.251.107.104/11x06x2026_x64.exe
http://196.251.107.104/clp5.exe
http://196.251.107.104/rkx4.exe

-- 3 ayrı payload URL'si:
  "11x06x2026_x64.exe" = 11 Haziran 2026 tarihli x64 payload (tarih damgalı!)
  "clp5.exe" = belirsiz, muhtemelen clipper/C2 loader (clp = clipboard?)
  "rkx4.exe" = muhtemelen rootkit x4 veya ransom-key x4

-- Tarih: 11x06x2026 = 11 Haziran 2026 → aktif kampanya tarih damgası
-- IP: 196.251.107.104 → hızlı analiz ile C2 sunucusu teyit edildi
-- InternetOpenW + InternetOpenUrlW → her URL ayrı ayrı indirilip çalıştırılıyor
-- ShellExecuteExW → indirilen EXE'leri çalıştır

NetShareEnum + NetServerEnum: SMB Yayılma

NETAPI32.dll → NetShareEnum    (paylaşımları listele)
NETAPI32.dll → NetServerEnum   (ağdaki sunucuları listele)

-- NetServerEnum(domain, SV_TYPE_ALL, ...) → ağdaki tüm makineleri bul
-- NetShareEnum(server, 1, ...) → her makine için paylaşımları listele
-- ADMIN$ paylaşımı hedefleniyor:
  \\%s\ADMIN$           (admin paylaşımı)
  \\%s\ADMIN$\..\..%s  (admin paylaşımından relative path traversal!)
-- Bu kombinasyon: Conficker/WannaCry/NotPetya benzeri SMB yayılma
-- Kendini ağ paylaşımlarına kopyala → autorun veya LNK ile çalıştır

Work_Report_2026.pdf.lnk: LNK Enfeksiyon Vektörü

Work_Report_2026.pdf.lnk
Work Files.lnk

-- .pdf.lnk = çift uzantı aldatmacası:
  - Windows: varsayılan olarak uzantıları gizler
  - Kullanıcı görür: "Work_Report_2026.pdf" (sahte PDF ikonu ile)
  - Gerçek: Windows kısayolu → komut çalıştırır
  - LNK içinde gömülü komut: PowerShell veya CMD payload başlatır

-- "Work Report 2026" lürü = kurumsal çalışma ortamı sosyal mühendislik
  - Muhasebe/İK/Yönetici personeline gönderilen e-posta eki
  - Açıldığında: worm çalışır, payload indirir, paylaşımlara yayılır
-- LNK kısayolları AV'leri atlatır (EXE değil → daha az inceleme)

Global\dsfdsoijbvoxiUHUokpoCVS9XVF848: Mutex

Global\dsfdsoijbvoxiUHUokpoCVS9XVF848
-- Global mutex: sistem genelinde tek instance garantisi (anti-reinfection)
-- "dsfdsoijbvoxiUHUokpoCVS9XVF848" = rastgele görünen ama sabit string
-- YARA kuralı: bu mutex string için tespit imzası yazılabilir
-- "Global\" = tüm kullanıcı oturumlarında görünür (SYSTEM ayrıcalıklı çalışıyor)

IOC