SolarMarker -- install-x86 PowerShell Add-Type PresentationCore WPF, Sahte MSVCR120.dll VC++ Runtime Hata Mesajı, Convert FromBase64String Gömülü Payload | Yüksek

Dosya Kimliği

PowerShell Add-Type WPF: MessageBox ile Sahte VC++ Hatası

Add-Type -AssemblyName PresentationCore,PresentationFramework
[System.Windows.MessageBox]::Show(
  'The code execution cannot proceed because MSVCR120.dll was not found.
   Reinstalling the program may fix this problem.',
  'System Error', 0, 16)
-- "Add-Type -AssemblyName PresentationCore,PresentationFramework" = PowerShell ile WPF yükle
-- "MessageBox::Show" = Windows mesaj kutusu göster
-- MESAJ: "MSVCR120.dll was not found. Reinstalling the program may fix this problem."
  - "MSVCR120.dll" = Microsoft Visual C++ 2013 Runtime DLL
  - "Not found" = meşru bir uygulama kurulum hatası gibi görünür!
  - Kullanıcı: "Oh, VC++ kurmalıyım" diye düşünüp kapatıyor
  - Arka planda: PowerShell payload zaten çalışıyor!
-- Aldatmaca: hata mesajı gösterirken asıl payload devreye giriyor

[Convert]::FromBase64String: Gizlenmiş Base64 Payload

$F=[Convert]::FromBase64String('6x6UxdaKjbxBlgBfLyuguDxbMHyH3GNCKoV3QqVkVdAK
yKSUa+E5bEqENPzlfddC9JO470L0g2TwRqhsUgF856U3XqaDMlU3SJAs2CqZ9KpDqLmKjkP1q
zrt5VwLrYRxhIg/dTFyha1xIXgQwGAC2Vdl3FpmvPfUGSRbUjyGYVLi9Ns95VJSjglSULQXY
...[devam ediyor]...')
-- "$F" = gizli payload değişkeni
-- "[Convert]::FromBase64String(...)" = .NET base64 çözme fonksiyonu
-- İçerik: büyük base64 bloğu → şifreli SolarMarker/Jupyter stage-2 payload
-- Çalışma: MessageBox kapatıldıktan sonra $F payload'ı belleğe yükleniyor
-- Bu teknik: "LOLbins" (Living off the Land Binaries) — PowerShell meşru araç

PSHostRawUserInterface + System.Management.Automation: Gömülü PowerShell

System.Management.Automation.Host
PSHostRawUserInterface
PSHostUserInterface
ReadKey_Box
-- "System.Management.Automation" = PowerShell çalışma zamanı namespace'i
-- PSHostRawUserInterface/PSHostUserInterface = PowerShell konsol UI arabirimleri
-- "ReadKey_Box" = klavye girişi okuma
-- SolarMarker: PowerShell motorunu tamamen barındırıyor!
  - Standalone PowerShell gerektirmez: motor binary içinde gömülü
  - EDR: "powershell.exe" başlatmıyor → process tabanlı tespiti atlar

IOC