CMDPSDropper lods.cmd -- vrstem.IO C2 Indirme Sunucusu, Rgqvr Junk String CMD Obfuskasyon Teknigi, WindowsPowerShell Minimize Gizli Baslama, Buyuk Base64 Sifrelenmis PS Payload Gomulu | Yuksek

Arquivo Kimliği

vrstem.IO: C2 İndirme Sunucusu

vrstem.IO (ham: vrsRgqvrtRgqvreRgqvrmRgqvr.IO → Rgqvr kaldır → vrstem.IO)
-- ".IO" TLD: İngiliz Hint Okyanusu bölgesi, popüler C2 TLD
-- "vrstem" = belirsiz kısaltma (VR stem? versiyon stem?)
-- İşlev: PowerShell'in bağlandığı indirme/C2 sunucusu
-- Obfuskasyon tekniği ortaya çıkarıldıktan sonra net C2 IOC

Rgqvr: Junk String CMD Obfuskasyon Tekniği

Ham kod: vrsRgqvrtRgqvreRgqvrmRgqvr.IO
Temiz kod: vrstem.IO (Rgqvr stringi her karakterden sonra ekleniyor)

-- Teknik: her gerçek karakter arasına "Rgqvr" junk dizisi ekleniyor
-- CMD decode:
  SET domain=vrsRgqvrtRgqvreRgqvrmRgqvr.IO
  ECHO %domain:Rgqvr=% → vrstem.IO
  (% :Rgqvr=% = Rgqvr stringini boşla değiştir)

-- Başka örnekler (decode edilmiş):
  TvZhmR → WindowsPowerShell\v1.0\powershell.exe
  IOvchb → $host.UI.RawUI.WindowTitle= (başlık gizleme)
  LiRslx → $yDpz='IKCWFnKCWFvoKCWFkeKCWF'.Replace('KCWF','')
           → $yDpz='Invoke' (PowerShell Invoke metot inşası)

-- Neden etkili:
  - Grep/regex aramaları "vrstem.IO"yu bulamaz (ham formda)
  - YARA kuralları tetiklenmiyor
  - Sadece 15 string çıkıyor (obfuskasyon çok başarılı)

PowerShell Gizli Başlatma + Invoke

WindowsPowerShell\v1.0\powershell.exe
start " /min (minimized window)

-- Akış:
  1. CMD: Rgqvr junk stringlerini kaldır → gerçek değişkenleri oluştur
  2. PowerShell'i minimize pencereyle başlat
  3. $yDpz = 'Invoke' (string replacement ile inşa → hook atlatma)
  4. $yDpz + 'Expression' → InvokeExpression (meşru PS cmdlet'i)
  5. Base64 payload çöz → çalıştır → vrstem.IO'ya bağlan

-- Gömülü Base64 payload (kısaltılmış):
  5/6yQHNUtIOYdrNe0mu35je0NWZtWItB1EQVBFPhDJ...
  IL/ECPB5blnTlGabS8l3urc6ryJzzJy89IKpmwbCN+PCP1A0FEkyYfLY8...
  (iki ayrı şifreli blok — çok aşamalı payload)

timeout /nobreak /t 1 >nul
-- Sandbox timing bypass: 1 saniye gecikme + /nobreak = Ctrl+C bile çalışmaz

IOC