PO.exe SnakeDeveloperRAT -- snakedeveloper@gmail.com ve IsmAvatar@gmail.com Geliştirici E-posta, HotkeyScreenshot Hotkey Tetiklemeli Ekran Görüntüsü, AllowPartiallyTrustedCallers Sandbox Yetki Özelliği, ZLIB.NET Sıkıştırma | Orta

Dosya Kimliği

PO.exe: İş Dünyası E-Postası Lürü

PO.exe
-- "PO" = Purchase Order (Satın Alma Emri)
-- Kurumsal hedef: tedarik zinciri, satın alma departmanları
-- Senaryo: "PO.exe — Mayıs 2026 Sipariş Onayı.exe" gibi ekte gönderilir
-- Hedef profil: şirket muhasebe/tedarik çalışanları → daha az teknik farkındalık
-- Alternatif: "PO.pdf.exe" çift uzantısıyla gönderilebilir

snakedeveloper@gmail.com + IsmAvatar@gmail.com: Çift Geliştirici E-Postası

snakedeveloper@gmail.com
IsmAvatar@gmail.com

-- Her iki adres birlikte görünüyor → aynı .NET framework/bileşenden geliyorlar
-- "snakedeveloper": geliştiricinin tercih ettiği takma ad (LoL/gaming community'de yaygın)
-- "IsmAvatar": belgelenmiş geliştirici; LightStrike ve diğer açık kaynak .NET araçları
-- Bu çift kombinasyon: açık kaynak .NET bileşeninin bu RAT içine gömülmesi
  - Muhtemelen: bir obfuscation veya compression kütüphanesi
  - Kütüphanenin lisans bloğunda e-posta adresleri sabit
  - Kötü amaçlı yazılıma dolaylı atıf sağlıyor
-- "snakedeveloper" takma adı siber tehdit araştırması için izlenebilir hedef

HotkeyScreenshot: Hotkey Tetiklemeli Ekran Görüntüsü Sistemi

HotkeyScreenshot  (x2 kez görünüyor)

-- "HotkeyScreenshot" = tuş kombinasyonu ile ekran görüntüsü al
-- İki görünüm: hem fonksiyon ismi hem de olay yöneticisi (event handler)
-- Hotkey dinleme: SetWindowsHookEx(WH_KEYBOARD) veya RegisterHotKey() ile tuş izleme
-- Kullanım senaryoları:
  1. Kurban PrtScn tuşuna bastığında → otomatik C2'ye yükle
  2. Belirli tuş kombinasyonu (CTRL+SHIFT+S) → anlık ekran yakalama
  3. Arka planda pasif ekran izleme: kurban özel pencereye odaklandığında tetikle
-- Screenshot çerçevesi: Windows Forms gömülü → BitBlt veya Graphics.CopyFromScreen()
-- Gönderim: ZLIB sıkıştırma → C2 sunucusuna HTTP POST

AllowPartiallyTrustedCallers: Kısmi Güven Sandbox Atlatma

[assembly: AllowPartiallyTrustedCallers]

-- .NET güvenlik özelliği: tam güvenli (full-trust) assembly'in
  kısmi güvenli (partial-trust) ortamlardan çağrılabilmesine izin verir
-- Normal: Internet Zone, sandboxed browser plugin = kısmi güven
-- Bu attribute: RAT'ın sandboxed .NET ortamlarından (ClickOnce, XBAP) çağrılabilir olduğunu gösteriyor
-- Potansiyel senaryo: Browser eklentisi veya ClickOnce dağıtımı üzerinden enfeksiyon

ZLIB.NET + Windows Forms: RAT Mimarisi

ZLIB.NET (zlib.net)           -- veri sıkıştırma kütüphanesi (C2 trafik sıkıştırma)
ovh.org                       -- OVH ağ bileşeni veya bağlantı testi referansı
System.Windows.Forms          -- GUI bileşenlerle gelen RAT (builder arayüzü?)
ImageListStreamer              -- liste ikonu gömülü → Windows Forms UI widget

-- Windows Forms GUI: bu RAT muhtemelen hem istemci (victim tarafı) hem yönetici (builder)
  arayüzüne sahip .NET projesi
-- ZLIB.NET: ekran görüntüsü verilerini HTTP POST öncesinde sıkıştırıyor

IOC