STRRAT -- Request For Quotation RFQ.js, XOR Hex Byte Array Dropper, getString Şifre Çözücü | Yüksek

Dosya Kimliği

İş Tuzağı: Request For Quotation (RFQ)

Request For Quotation(RFQ).js
-- RFQ = "Request For Quotation" = Teklif Talebi
-- İş süreçlerinde standart: tedarikçilere fiyat teklifi isteme belgesi
-- Kurban açar → WScript ile JavaScript çalışır → STRRAT indirilir
-- BEC (Business Email Compromise) vektörü
-- Sadece 41 string: geri kalan veri XOR şifreli

XOR Hex Byte Array: Şifreli Payload

var raw = ["7E", "84", "F9", "3F", "C3", "E0", "1F", "09", "D4", "C8", "BC", "88", "4...
-- "raw" dizisi: XOR şifreli payload hex byte değerleri
-- Her hex string bir byte → XOR key ile decode → STRRAT JAR/CAB payload
-- STRRAT indirme mekanizması tamamen bu array içinde gizli
-- 849KB JS = çoğu bu hex array
-- Avantaj: imza tabanlı AV bypass (raw hex string, EXE değil)

getString Şifre Çözücü

String.prototype.getString = function(key){
  for(var i=0; i<key.toString().length; i...
-- Native String.prototype'ı extend ediyor!
-- Her string için key parametresi ile XOR decode
-- JavaScript native metodunu modify etmek = AV tespitini zorlaştırıyor
-- key parametresi: STRRAT config için ayrı string

IOC