Latrodectus -- temp.tmp MSI Kılığı, wazij.com/sel.php C2, MSI Dropper NtQueryInformationProcess | Yüksek

Dosya Kimliği

temp.tmp: MSI Kılık

temp.tmp
-- ".tmp" uzantısı → geçici dosya gibi görünür
-- Aslında MSI (Windows Installer paketi)!
-- Güvenlik araçları .tmp uzantılı dosyalara daha az dikkat eder
-- MSI: tam kurulum yetkisiyle çalışır (WiX/MSI framework)
-- İçerik: WiX installer tabloları + Latrodectus payload

C2: wazij.com/sel.php

https://wazij.com/sel.phpAI_DOWs
-- wazij.com = C2 domain
-- /sel.php = "selector" PHP gate (komut alımı)
-- "AI_DOWs" = string parsing artifact (truncated)
-- Latrodectus HTTP C2 protocolü: POST /sel.php → komut alımı

Üçlü Anti-Analiz

NtQueryInformationProcess -- ProcessDebugPort sorgusu
GetTickCount              -- zamanlama kontrolü
IsDebuggerPresent         -- debug bayrak kontrolü
-- Üçlü katman: userland + kernel + zamanlama

Latrodectus Hakkında

Latrodectus 2023'te IcedID altyapısı üzerinde keşfedilen yeni bir loader'dır. Inception Group (TA577 / TA578) tarafından kullanılmaktadır. HTTPS/HTTP üzerinden C2 iletişimi yapar. Ek payload indirme, komut çalıştırma ve process injection yetenekleri vardır. IcedID'nin halefı olarak düşünülmektedir.

IOC