BlackBasta2 -- black-basta_elex.exe Açık Aile Adlı Dosya, ose.pdb Microsoft Office Source Engine PDB Gizleme, WinHttpConnect WinHttpSendRequest HTTPS C2, AdjustTokenPrivileges Hak Yükseltme | Yüksek

Dosya Kimliği

black-basta_elex.exe: Açıkça Aile Adı Taşıyan Dosya

black-basta_elex.exe
-- Dosya adı içinde "black-basta" = fidye yazılımı adı açıkça yazılı!
-- "_elex" suffix = "elex" bileşeni veya varyant etiketi
-- Operasyonel OPSEC hatası: gerçek saldırı araçları böyle adlandırılmaz
-- Bu genellikle: saldırgan test ortamında veya araç setinde bu isimle kaydedilmiş
-- MalwareBazaar'a analiz ortamından veya araştırmacı tarafından yüklendi
-- Black Basta: 2022'de Conti'nin dağılmasından sonra ortaya çıkan fidye grubu

d:\dbs\el\dec\target\x64\ship\delivery\x-none\ose.pdb: MS Office Source Engine Maskesi

d:\dbs\el\dec\target\x64\ship\delivery\x-none\ose.pdb
-- "ose.pdb" = Office Source Engine Program Database
  - OSE = Microsoft Office kurulum/güncelleme bileşeni
  - Meşru dosya: C:\Program Files\Common Files\Microsoft Shared\Source Engine\ose.exe
-- Build yolu taklidi:
  - "d:\dbs\el\dec" = "databases/el/dec" (Microsoft'un iç build sistemi yapısı)
  - "\target\x64\ship\delivery\x-none\" = Microsoft Office dağıtım dizin yapısı
-- Amaç: AV ve EDR araçları "ose.pdb" referansını güvenilir Microsoft kaynağı sanır
-- Digital imza olmadan: sadece PDB yolu Microsoft'tan gelmiş görünümü veriyor

WinHTTP HTTPS C2 Altyapısı

WinHttpConnect          -- HTTPS sunucusuna bağlan
WinHttpOpenRequest      -- HTTP istek oluştur (GET/POST)
WinHttpSendRequest      -- isteği gönder (payload/C2 komut)
-- Windows HTTP Servisleri: WinInet'e alternatif, daha az monitör edilen
-- HTTPS C2: şifreli kanal (firewall/IDS göremez)
-- Black Basta C2 protokolü: WinHTTP üzerinden JSON komut alış-verişi

Hak Yükseltme + Token Manipülasyonu

AdjustTokenPrivileges   -- token ayrıcalıklarını artır (SeDebugPrivilege, SeTakeOwnershipPrivilege)
OpenProcessToken        -- proses token'ına eriş
SetThreadToken          -- iş parçacığına token ata (impersonation)
DuplicateToken          -- token kopyala (domain hesabı taklit)
CheckTokenMembership    -- yönetici grubu üyesi mi?
-- UAC bypass sonrası: SeDebugPrivilege aktif → tüm proseslere erişim
-- DuplicateToken: domain kullanıcısı kimliğiyle ağ hareketleri

IOC