Winos4.0 -- XLLiveUpdateAgent.dll Sahte Kingsoft Güncelleme, httpbin.org Bağlantı Testi, CSDN img-blog Çin CDN, RC2 Şifreleme | Yüksek

Dosya Kimliği

XLLiveUpdateAgent.dll: Sahte WPS Güncelleme Saldırısı

XLLiveUpdateAgent.dll
-- "XL" = Kingsoft WPS (Çin Office suite, 500M+ kullanıcı)
-- "LiveUpdateAgent" = Otomatik güncelleme ajanı
-- ".dll" = DLL sideloading ile meşru WPS sürecine enjekte edilir
-- WPS: Çin'de Windows Office yerine yaygın kullanılır
-- DLL sideloading: meşru WPS.exe → sahte DLL yükler → Winos4.0 aktif!
-- MalwareBazaar etiket: ValleyRAT (aynı Çin APT aktörü)

httpbin.org: İnternet Bağlantı Testi

http://httpbin.org/headers
http://httpbin.org/post
-- httpbin.org = HTTP test servisi (meşru)
-- Winos4.0: kurulum sonrası internet var mı? → httpbin.org'a test isteği
-- "/headers" = gönderilen HTTP başlıklarını döndürür
-- "/post" = POST isteği yankısı
-- Neden? Proxy/firewall arkasında internet var mı tespiti

CSDN img-blog + RC2 Şifreleme

https://img-blog.csdnimg.cn/202401[...]
-- csdnimg.cn = CSDN (Çin Yazılım Geliştirici Ağı) CDN
-- img-blog: blog görselleri CDN'i
-- Winos4.0: CSDN blog görseli URL'sinde payload/config gizlenmiş!
-- "202401" = Ocak 2024 tarihli blog yazısı (kampanya başlangıcı)
CALG_RC2 -- RC2 şifreleme algoritması
-- RC2 = Rivest Cipher 2 (eski AES öncesi, 40-128 bit key)
-- SASL kimlik doğrulama ile birlikte: eski ama fonksiyonel

IOC