Swift ile Derlenmiş Windows Downloader: 176.46.152.62:5858 C2, Crypted Build ve PowerShell Indiricisi

Genel Bakış

Bu örnek, Apple'ın Swift programlama dili ile Windows platformu için derlenmiş nadir bir PE32+ indiricisidir. Swift, genellikle macOS/iOS geliştirmesi için kullanılmaktadır; ancak bu örnek Windows'ta çalışan kötü amaçlı bir dropper/downloader olarak kullanılmıştır. 176.46.152.62:5858 adresindeki C2 sunucusundan şifreli bir payload ve PowerShell scripti indirmektedir.

Teknik Analiz

Swift Derlenmiş Windows Yürütücüsü

• __swift_1, __swift_2, __swift_3 — Swift runtime sembolleri
• PE32+ (64-bit) GUI yürütücüsü, 171.520 bayt
• Swift, Windows'ta nadir; threat actor platformlar arası bir geliştirme ortamı kullanmaktadır

C2 İndirme İşlemleri (176.46.152.62:5858)

• http://176.46.152.62:5858/1319b3326c0848af967bbe7a51cf8c9a_crypted_build.exe — şifreli payload yürütücüsü
• http://176.46.152.62:5858/dadaasads_new.ps1 — PowerShell scripti

İndirme mekanizması: URLDownloadToFileA Windows API fonksiyonu.

Yürütme Zinciri

Downloader (Swift PE32+)
├── URLDownloadToFileA → 1319b3...crypted_build.exe
├── URLDownloadToFileA → dadaasads_new.ps1
└── powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File "..."
    └── nbgtpasrg.exe (drop edilen yürütücü)

• Drop dosyası: nbgtpasrg.exe (rastgele isim, tespit kaçınma)
• GetTempPath2W — geçici dizine yazar
• PowerShell ile gizli modda çalıştırma

Teknik Propriedadeler

IOC Özeti

• C2: 176.46.152.62:5858
• Payload URL: http://176.46.152.62:5858/1319b3326c0848af967bbe7a51cf8c9a_crypted_build.exe
• PS1 URL: http://176.46.152.62:5858/dadaasads_new.ps1
• SHA256: a793c1a77afeb7d85ee525d6333339e40e2fec841a9d79d87d02524cf9034909