Havoc C2 -- vboxguest+vboxmouse+vmware Üçlü VM Tespiti, Global GUID Mutex, DLP Browser Bypass | Yüksek

Datei Kimliği

Üçlü VM Tespiti

vboxguest    -- VirtualBox guest agent driver (VirtualBox)
vboxmouse    -- VirtualBox mouse driver (VirtualBox)
vmware       -- VMware string (VMware Workstation/ESXi)
-- VirtualBox iki ayrı driver ile: vboxguest (genel) + vboxmouse (spesifik)
-- İkili VirtualBox kontrolü = daha kesin tespit
-- VMware + VirtualBox birlikte: neredeyse tüm sandbox ortamları

Global GUID Mutex

Global\{7f3a9c2e-4b1d-8e5f-a6d0-3c9b2e1f7a4d}
-- Global namespace = sistem genelinde tek instance
-- GUID format mutex: her Havoc beacon için benzersiz
-- "7f3a9c2e-4b1d-8e5f-a6d0-3c9b2e1f7a4d" = bu kampanyanın beacon GUID'i
-- Global mutex ile çift çalışma önlemi

DLP Browser Bypass Modülü

DlpCommunicationChannel       -- Chrome/Edge DLP iletişim kanalı sorgulama
DlpIsWebsitePolicyConfigured  -- Web sitesi DLP politikası kontrol
DlpTestConfig                 -- DLP test konfigürasyonu
GetBrowserExtensio(n)         -- Tarayıcı uzantıları listeleme
-- DLP = Data Loss Prevention (Kurumsal veri sızıntısı koruması)
-- Havoc kurumsal DLP sistemlerini sorguluyor:
  1. DLP aktif mi? → şifreleme bypass yöntemine geç
  2. Hangi web siteleri engelleniyor? → farklı C2 domain seç
  3. Hangi uzantılar var? → DLP extension'ı bypass et
-- HEDEF: Kurumsal ağlardaki DLP atlatma (finans/sağlık/kamu sektörü)

Havoc C2 Hakkında

Havoc 2022'de C/Go ile yazılmış açık kaynaklı post-exploitation C2 framework. Cobalt Strike ve Brute Ratel alternatifi. Şifreli HTTPS/TCP beacon, process injection, token manipulation, lateral movement. DFIR ekipleri için kayıp: meşru pentest aracı olduğundan tespiti zor.

IOC