ValleyRAT -- Çince Dosya Adı Hedefleme, wmic Win32_ComputerSystem HypervisorPresent VM Tespit, invalid string surrogate | Yüksek

Arquivo Kimliği

wmic HypervisorPresent: WMI ile VM Tespiti

wmic path Win32_ComputerSystem get HypervisorPresent
-- Win32_ComputerSystem.HypervisorPresent = true ise sanal makine!
-- wmic komut satırı ile: powershell gerektirmez, doğrudan wmic
-- Sandbox/VM: VMware, Hyper-V, VirtualBox → HypervisorPresent=True
-- ValleyRAT: VM tespiti → çalışmayı durdurur / sessiz kalır
-- GetTickCount + GetTickCount64: çift zamanlama anti-debug de var

invalid string: surrogate

invalid string: surro[gate pair]
-- UTF-16 vekil çifti hatası (lone surrogate)
-- ValleyRAT: C2'den gelen string verisi UTF-16 doğrulamasına tabi tutulmuş
-- Aynı hata: PikaBot ve diğer JSON tabanlı C2 protokollerinde görüldü
-- C2 protokolü: JSON veya XML → string doğrulama katmanı var

Mutex ve IPC Hata Mesajları

fail CreateMutex[%lu]: %s
fail ReleaseMutex[%lu]
fail: send, there is no receiver on this connection.
-- Mutex başarısız: format string ile hata kodu
-- "no receiver on this connection" = named pipe / IPC bağlantısı kesildi
-- ValleyRAT: bileşenler arası IPC için named pipe kullanıyor

IOC