ProcessHollowingLoader cool_project_lol -- D:Usersvirtual Malware projects cool project lol PDB OPSEC Hatasi, NtUnmapViewOfSection SetThreadContext Process Hollowing, Benign GUI Resource MZ Enjeksiyon Debug Kaniti, LoaderBootstrap dll Payload Yukleme Zinciri | Kritik

Dosya Kimliği

PDB OPSEC Hatası: "cool project lol"

D:\Users\virtual\Desktop\Malware\projects\cool project lol\Source\stub\loader\obj\Release\net48\Loader.pdb
D:\Users\virtual\Desktop\Malware\projects\cool project lol\Source\stub\loader_bootstrap\obj\Release\net48\LoaderBootstrap.pdb

-- Geliştirici bilgileri:
  Sürücü: D:\
  Kullanıcı: "virtual" (sanal makine kullanıcı adı)
  Masaüstü: Desktop\Malware\projects\ (Malware klasörü)
  Proje adı: "cool project lol" (gayri ciddi proje ismi)

-- "cool project lol" = açık OPSEC hatası:
  - Geliştirici bunu hafifçe bir "cool project" olarak görüyor
  - "lol" = argo, genç/deneyimsiz geliştirici göstergesi
  - Proje klasörü: Desktop doğrudan (temiz geliştirme ortamı yok)

-- Bileşenler (iki ayrı PDB):
  1. Loader.pdb — ana yükleyici DLL
  2. LoaderBootstrap.pdb — bootstrap/başlatıcı DLL

NtUnmapViewOfSection + SetThreadContext: Process Hollowing

NtUnmapViewOfSection
SetThreadContext

-- Process Hollowing klasik tekniği (RunPE):
  1. CreateProcess(hedef, CREATE_SUSPENDED) → beklet
  2. NtUnmapViewOfSection → hedef prosesin orijinal kodunu bellekten kaldır
  3. VirtualAllocEx → yeni bellek ayır (aynı base address'te)
  4. WriteProcessMemory → malicious payload yaz
  5. SetThreadContext → EIP/RIP = payload entry point
  6. ResumeThread → proses çalışır → içeride payload var

-- Hedef: svchost.exe, explorer.exe, RegAsm.exe, vbc.exe
  (meşru .NET host prosesleri tercih edilir)
-- Avantaj: process name ve PID meşru görünür
-- EDR atlatma: bellek içeriği meşru PE gibi başlar

[*] Injected benign GUI resourceMZ: Enjeksiyon Debug Kanıtı

"[*] Injected benign GUI resourceMZ"

-- Bu debug/log stringi: geliştirici tarafından bırakılan enjeksiyon onayı
-- "[*]" prefix: geliştirici log formatı (başarılı işlem göstergesi)
-- "Injected" = enjeksiyon tamamlandı mesajı
-- "benign GUI resource" = sahte meşru kaynak eklenmiş (icon, manifest)
-- "MZ" = enjekte edilen payload PE başlık işareti

-- Teknik:
  1. Hollowed proses: boş veya sadece GUI kaynaklarıyla başlatıldı
  2. "benign GUI resource" = gerçek bir pencere/ikon eklendi → görünür uygulama gibi
  3. "MZ" = bu güzel görünümlü prosese asıl malicious PE enjekte edildi
-- Kullanıcı: uygulama açık ve normal görünüyor → içeride payload çalışıyor

Loader.dll + LoaderBootstrap.dll + payloadBytes

Loader.dll
LoaderBootstrap.dll
payloadBytes

-- İki aşamalı yükleme:
  1. LoaderBootstrap.dll: ilk bootstrap → Loader.dll'i yükler
  2. Loader.dll: asıl yükleyici → payloadBytes'ı çözüp çalıştırır
  3. payloadBytes: şifreli payload (byte array olarak gömülmüş)

-- .NET 4.8 seçimi: Windows 7-11 arası geniş uyumluluk
-- 26.4.4.799 versiyon numarası: aktif geliştirme süreci (hata takibi için)
-- "Access is denied... administrator privileges": UAC yükseltme talebi
  - Yoksa limited mode → process hollowing düşük ayrıcalıkta da çalışabilir

IOC