STRRAT v5 Java RAT — Nakliye Faturasi PDF Phishing, kingDavid Paketi, Sifrelenmis JAR C2 | Yuksek

Dosya Kimligi

Teslimat Vektoru — Nakliye Faturasi PDF Kimlik Avı

Dosya, 2008581 numarali nakliye faturasi (01.04.2026 tarihli) olarak sunulmaktadir. Cift uzantili dosya adi (*.pdf.jar) ile kurbanlar bir PDF belgesi actıklarını sanirken aslinda bir Java uygulamasini calistirmaktadirlar. Bu teknik lojistik ve ihracat sektorlerini hedef alan STRRAT kampanyalarinda sikca kullanilmaktadir.

Teknik Analiz — kingDavid JAR Paketi

JAR dosyasi icerisinde kingDavid/ adli bir paket yapisi bulunmaktadir. Bu paket adi gelistirici tarafindan secilmis ve bu ornege ozgü bir IOC'dur. Java class dosyalari caesium_XX.class isimlendirme duzeninde obfuskasyona ugramistir (STRRAT v5 standart obfuskasyon modeli):

kingDavid/9.class/caesium_27.classc
kingDavid/3.class/caesium_25.classc
kingDavid/10.class/caesium_27.classc
kingDavid/41.class/caesium_31.classc

C2 Altyapisi

STRRAT v5 C2 host/port bilgisini sifreli bir String olarak JAR icerisinde saklar. Statik analizde cleartext C2 gorunmemektedir; ancak runtime'da Java SecretKeyFactory veya AES ile cozer. STRRAT'in bilinen C2 portlari: 1033 veya 1234.

Bilinen STRRAT Yetenekleri

• Uzaktan komut yürütme (Java ProcessBuilder)
• Keylogger
• Ransomware modulu (dosya sifrelemesi .crimson uzantisi)
• Kimlik bilgileri calma: tarayici, Outlook, FileZilla
• Ekran goruntüsü
• Cross-platform (Windows, Linux, macOS — Java Runtime ile)

IOC

Nasil Kaldirilir?

1. .jar uzantili dosyalar calistirilmasin (cift uzantiya dikkat)
2. Java Runtime ortaminda cesitli .class dosyalari aransin
3. Kullanilmayan Java kurulumlarinin kaldirilmasi onerilir