SMTP Botnet Loader "Bruno": mail.ru Spam, NtFilterToken UAC Bypass, wusa.exe LOLBin, VirtualAllocEx Injection

Genel Bakis

Bu ornek, gelistirici "Bruno"ya ait 78KB'lik bir SMTP spam botnet loader'dir. C:\Users\Bruno\Desktop\file.exe PDB izi birakmis bu malware, SMTP uzerinden spam gonderirken ayni anda process injection ve Windows token manipulasyonu ile ayricalik yukseltmesi yapmaktadir. wusa.exe LOLBin kullanimi da dikkat cekicidir.

Teknik Analiz

SMTP Spam Bot Ozellikleri

• mail from:<%s> — SMTP gonderici komutu
• ESMTP — Extended SMTP protokolu
• %FROM_EMAIL, INSERT_ORIGINAL_EMAIL — email injection sablon degiskenleri
• %OUTLOOK_MID — Outlook mail ID cevirimi
• Too big smtp respons (%d bytes), smtp_retr, smtp_ban, smtp_herr — SMTP hata isleme
• mail.ru — hedeflenen email hizmet saglayicisi
• loader_id, hi_id, lid_file_upd — bot kimlik yonetimi

Token Manipulasyonu ve Ayricalik Yukseltme

NtSetInformationToken    <- token bilgisi degistirme
NtOpenProcessToken       <- islem tokeni acma
NtDuplicateToken         <- token kopyalama
NtFilterToken            <- token filtreleme (UAC bypass)
NtQueryInformationToken  <- token bilgisi sorgulama
CheckTokenMembership     <- grup uyeligini kontrol

Process Injection

• VirtualAllocEx — uzak islemde bellek tahsisi
• WriteProcessMemory — uzak isleme yazi
• SetThreadContext — thread context degistirme

LOLBin: wusa.exe

• wusa.exe (Windows Update Standalone Installer) — UAC bypass veya yukle icin LOLBin
• Meşru Windows aracini kotu amacla kullaniyor

Gelistirici Izi

• PDB: C:\Users\Bruno\Desktop\file.exe
• Gelistirici kullanici adi: Bruno

Teknik Ozellikler

IOC Ozeti

• Domain: mail.ru
• LOLBin: wusa.exe
• SHA256: ec21a7eb3f763990280dfa0be8634c36365d3b3b5a52933cd2dcf90038755aa2