JSDropper REQNEWINQUIRY2026 -- Kurtarılan AES-CBC Anahtarı zral5sTyAJ6EJ4XJHkyB, AES IV ou1OB3BHxuPAynSPd6Kafg, terminateRelatedProcesses Sandbox Evasion Fonksiyonu, certutil PowerShell AES Çözücü Zinciri | Kritik

Dosya Kimliği

Kurtarılan AES-CBC Anahtarı ve IV

AES-CBC Anahtarı (base64):
zral5sTyAJ6EJ4XJHkyB/9Mas7U3dnt6m9AamTkb6ls=
-- Decode: 32 byte → AES-256 anahtarı
-- "zral5sTy" - rastgele görünümlü alfanumerik (sözlük değil)

AES-CBC IV (base64):
ou1OB3BHxuPAynSPd6Kafg==
-- Decode: 16 byte → AES-CBC başlatma vektörü

-- Bu bilgilerle: JS içindeki şifreli base64 payload çözülebilir!
-- PowerShell AES çözücü zinciri:
  1. JS → base64 blob alır
  2. PowerShell'e iletir → AES-256-CBC ile çözer
  3. Çözülen payload → Invoke-Expression ile çalıştırır
-- Sabit kodlu anahtar: üretici şaşırtma yapmamış → zayıf OPSEC

terminateRelatedProcesses: Analiz Ortamı Tespiti ve Temizleme

function terminateRelatedProcesses() { ... }
taskkill /f /im wscript.exe
taskkill /f /im cscript.exe
-- İsimli fonksiyon: "ilgili prosesleri sonlandır"
-- wscript.exe/cscript.exe: rakip/eski JS instance'larını öldür
-- Bu fonksiyon sandbox evasion amacıyla çağrılabilir:
  - Analiz araçları WScript instance'larını çalıştırıyorsa → tespit
  - Çoklu çalışma önleme: eski instance kapanmadan yeni başlamaz

WMI Proses Kontrolü

SELECT * FROM Win32_Process
WHERE Name='powershell.exe' OR Name='pwsh.exe'
-- WMI sorgusu: PowerShell çalışıyor mu kontrol et
-- Sandbox/analiz tespiti: PowerShell sandbox içinde izleniyorsa tespit
-- Güvenlik araçları: PowerShell process hook'larını fark edebilir
-- Bu sorgu gerçek olarak çalışıyorsa: analiz ortamını tespit edip durabilir

Tam Yürütme Zinciri

ADODB.Stream            -- binary veri okuma/yazma (payload indirme/kaydetme)
WScript.Shell           -- komut çalıştırma
Scripting.FileSystemObject -- dosya sistemi (C:\Temp\ dizini oluştur/yaz)
MSXML2.DOMDocument.6.0  -- XML/HTTP işleme

1. JS çalıştırılır (double-click veya wscript.exe)
2. ADODB.Stream: AES şifreli base64 blobu belleğe alır
3. C:\Temp\ dizini oluşturulur (staging area)
4. PowerShell aşaması:
   powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -File "..."
   → AES-256-CBC çözme → Invoke-Expression
5. Çözülen payload çalıştırılır (AsyncRAT veya benzer malware)

IOC