HoudiniRAT -- IDC DCF TRANSFER.js BEC Lürü, _0x21af Array, give-me-ffpv Komutu, bin.base64 Loader | Yüksek

Dosya Kimliği

BEC Lürü: DCF Transfer Belgesi

IDC202001281QA REF DCF TRANSFER.js
-- IDC = Şirket kodu/müşteri referansı
-- "202001281QA" = tarih formatı benzeri numara (güvenilirlik için)
-- "REF DCF" = DCF = Discounted Cash Flow (indirimli nakit akışı)
-- "TRANSFER" = para transferi işlemi gibi görünüyor
-- Hedef: Muhasebe departmanları, finans yöneticileri
-- Yöntem: "Transfer belgesi" olarak sunulan JS zararlısı

_0x21af Obfuscation Array

var _0x21af = ['ScriptFullName','give-me-ffpv','Type','bin.base64','rundll','country', ...]
-- "_0x21af" = hex isimli obfuscated array (Obfuscator.io tarzı)
-- Tüm string sabitleri array'e taşınmış: _0x21af[0], _0x21af[1]...
-- Reverse engineering'i zorlaştırır — string'e bakıp anlayamazsın
-- Sadece 1 readable string bulundu: ağır obfuscation kanıtı

Tespit Edilen String'ler

'ScriptFullName'  -- WScript.ScriptFullName: JS kendini okur (polimorfizm)
'give-me-ffpv'    -- Benzersiz C2 komutu/token! "ffpv" = muhtemelen kısaltma
'Type'            -- ADODB.Stream.Type = binary/text mod
'bin.base64'      -- ADODB.Stream format: base64 encoded binary
'rundll'          -- rundll32.exe ile DLL çalıştırma
'country'         -- Ülke bazlı hedefleme/filtreleme

Loader Zinciri

1. IDC DCF TRANSFER.js açılır (WScript ile)
2. WScript.ScriptFullName → kendi yolunu öğrenir
3. ADODB.Stream ile base64 binary decode
4. bin.base64 = base64-encoded EXE/DLL payload
5. rundll32.exe → DLL payload'ı bellekte çalıştırır
6. C2: 'give-me-ffpv' komutu gönderir
7. 'country' → coğrafi filtreleme (sadece hedef ülkede aktif)

IOC