MSI DownloadAndRun Dropper: BCryptImportKey, AES Şifreli HTTP İndir-Çalıştır

Genel Bakış

inst24.msi adlı bu .NET Mono örneği, görünüşte MSI kurulum paketi gibi davranmaktadır. İçerdiği DownloadAndRun metodu, uzak bir URL'den yürütülebilir dosya indirip çalıştırmakta; BCryptImportKey ve AesCryptoServiceProvider ile şifreli iletişim sağlamaktadır. Obfüskeli string'ler ve FromBase64String kullanımı statik analizi zorlaştırmaktadır.

Teknik Analiz

İndirici Mantığı

• DownloadAndRun — ana yükleme fonksiyonu
• get_URL / set_URL / exeUrl — dinamik URL yönetimi
• DownloadData — HTTP GET ile payload alma
• HttpWebRequest / HttpWebResponse — .NET HTTP istemcisi
• UriSchemeHttp — HTTP şema kontrolü

Şifreleme

• BCryptImportKey — Windows CNG API ile anahtar içe aktarma
• AesCryptoServiceProvider — AES şifreleme
• CipherMode — CBC/ECB modu
• FromBase64String — şifreli veri çözme için Base64 dönüştürme

UI Bileşenleri

TextBox1, TextBox2, PictureBox1 gibi WinForms UI elementleri, muhtemelen bir phishing formu veya sahte kurulum GUI'si için kullanılmaktadır.

Gizleme

• Obfüskeli string'ler: qRGPNomRIksuRLMsKD, zxmg38GHPEQVZG0jiL, zptX8ZTQmT1Xfu5JFE
• Gömülü XML assembly manifestosu
• .NET Reflection ile dinamik yükleme imkânı

Teknik Propriedadeler

IOC Özeti

• İşlev: DownloadAndRun (exeUrl)
• Şifreleme: BCryptImportKey + AES CBC
• SHA256: a977b13bed320452e1e0d4377ec24af19bd009c0ddb7fb0abbdcd263d5abe78b