Obfuske PowerShell Dropper: Aritmetik ASCII Obfuskasyon, $injection126, 700+ Karakter Base64 Payload Bloklari

Genel Bakis

Bu ornek, 794KB boyutlu yogun matematiksel obfuskasyonla gizlenmis bir PowerShell dropper'dir. Aritmetik islemler araciligiyla ASCII karakterlere donusturdugu sarti string'lerden gercek payloadi olusturan bu script, icinde 700+ karakterlik base64 bloklari ve $injection126 gibi dogrudan injection referanslari barindirir.

Teknik Analiz

Aritmetik Obfuskasyon Teknigi

$AlexisWinter = 733
$SerialRubber = 625
$editor523 = (((($sub876+$SerialRubber+$iii45+38)*36)/36) % 95) + 32
$WouHIcwcpn = (((($PlcGiving+$ElsewhereHidden+$MeetsRepresentation+36)*26)/26) % 95) + 32

• Her karakter, cok adimli aritmetik islemler (toplama, carpma, bolme, mod, sabitler) ile hesaplaniyor
• % 95) + 32 → ASCII printable range hesaplama (32-126)
• String reconstruction: degiskenler birlestirilip her karakterin ASCII kodu elde ediliyor
• Dogrudan string literal yoklugu → basit string-based AV'leri atiyor

Injection Referansi

$injection126 = ([char]83 + [char]112 + [char]57)

• Dogrudan "injection" anahtar kelimesi degisken adi olarak kullanilmis
• [char] casting ile karakterler birlestiriliyor

Gömülü Base64 Bloklar

• 700+ karakterlik birden fazla base64 blob (gercek payload)
• Base64 bloklari runtime'da decode edilip calistirilacak
• Ornekler: bgqC2thMC+MDHr5OtyPc4C0Owawnz6y++xeOoHQ2XWQ5...
• Bu bloklar AES veya XOR ile ek sifrelemede olabilir

Loop-based Karakter Hesaplama

$ElsewhereHidden = 0
for ($CarlitaWeekend = 1; $CarlitaWeekend -le 4; $CarlitaWeekend++) {
    $ElsewhereHidden = $ElsewhereHidden + $CarlitaWeekend
}

• 1+2+3+4 = 10 → daha sonra aritmetik fonksiyonda kullaniliyor
• Sabit sayilar bile loop ile hesaplaniyor → statik analizi zorlaştiriyor

Teknik Ozellikler

IOC Ozeti

• SHA256: e6cf4d8f6bb3fcc49332bf81441b03affc1d8cdc1f7cc368d8ab73333cf9643b