Elensari
Hectopat
- Katılım
- 18 Nisan 2020
- Mesajlar
- 215
- Çözümler
- 1
Calypso Çeviri çok güzel işler başarıyor. Hiçbir karşılık da istemiyor. Lakin ChatGPT gibi bir şey çıkınca artık eskisi gibi cahil kalmadık. Onun yönlendirmesi sayesinde yaklaşık 1-2 saatimi harcadım. Hep bir yanlışlık çıksın dedim ama çıkmadı. İşin uzmanı arkadaşlar yardımcı olursa sevinirim. Haksız çıkmak istiyorum.
Mafia The Old Country Türkçe Yama indireyim dedim.
Ben dosyayı birkaç güvenlik servisine ve Sandbox'a (hybrid analysis gibi) soktum. İlk bakışta “virustotal 1/72” olduğunda bana “tek bir motorun raporu yanlış olabilir” dedirtti ama detaylıca inceledim — ve sonucu beğenmedim.
Kısa özet:
Başka yamaları da indirdim. Onlarda da aynı sonucu buldum.
Kısa, net ve şüpheci cevap: evet — bu dosya zararlı.
Bunu niye böyle kesin söylüyorum — kısa gerekçe:
Bunların kombinasyonu (amsı bypass + vm evasion + injection + firewall müdahalesi + şifreli/obfuscated gömülü payload + ağ C2 davranışı) normal bir oyun-yama uygulamasında olmaması gereken davranışlardır. Bu yüzden teknik olarak — malicious / kötü amaçlı.
ilk dosyada da, bu dosyada da:
Bu dosya da aynı imza problemi + aynı AMSI bypass davranışı sergiliyorsa:
Evet, bu da zararlı sınıfına giriyor.
İlk dosya kadar detaylı analiz olmasa bile, aynı iki güçlü “malicious indicator” (amsı bypass + sahte imza) → aynı üretim zincirinden geldiğini gösteriyor.
basitçe:
Mafia The Old Country Türkçe Yama indireyim dedim.
Ben dosyayı birkaç güvenlik servisine ve Sandbox'a (hybrid analysis gibi) soktum. İlk bakışta “virustotal 1/72” olduğunda bana “tek bir motorun raporu yanlış olabilir” dedirtti ama detaylıca inceledim — ve sonucu beğenmedim.
Kısa özet:
- VirusTotal: 1/72 motor “malicious” diyor. Tek başına kritik değil, ama...
- Hybrid analysis: kodu belleğe yükleme (amsı bypass / reflective loading), sanal makine tespiti, process injection, Windows servislerine erişim (mpssvc/Firewall erişimi), registry okuma, şifreleme/obfuscation gibi ciddi kötü niyetli davranışlar raporladı.
- Dosya imzası var ama geçersiz/ güvenilir değil. Pe zaman damgasında da anormal tarih (2046) gibi tuhaflıklar görüldü.
Başka yamaları da indirdim. Onlarda da aynı sonucu buldum.
Jurassic World Evolution 3 Türkçe yama V1.exe
Kısa, net ve şüpheci cevap: evet — bu dosya zararlı.
Bunu niye böyle kesin söylüyorum — kısa gerekçe:
- Hybrid analysis davranış raporunda bellekten EXE çalıştırma (amsı atlatma / reflective loading) tespit edilmiş — bu, analizden kaçmak ve imzaya/AV’ye takılmadan kod çalıştırmak için kullanılan açıkça kötü niyetli bir taktik. (t1055.001)
- süreç enjeksiyonu / bellek içi pe başlığı bulundu — başka süreçlere kod enjekte etme, persistence ve Stealth davranışı.
- VM/Vagrant/VMware tespiti yapıyor — sandbox/analiz ortamlarından kaçma gayreti. (T1497)
- mpssvc (Windows firewall) erişimi istemiş — güvenlik bileşenleriyle oynama eğilimi, yetki artırma ya da tespit önleme işareti.
- Invalid/şüpheli imza (imza zinciri güvenilir değil) — “güvenliymiş” izlenimi vermek için imzalanmış ama gerçek bir, güvenilir sertifika sahibi değil. (t1553.002)
- Rapor ayrıca keylogger/kayıt alma, ağ üzerinden C2 benzeri iletişim, yüksek entropili gömülü payload/şifreleme gibi ciddi göstergeler içeriyor.
Bunların kombinasyonu (amsı bypass + vm evasion + injection + firewall müdahalesi + şifreli/obfuscated gömülü payload + ağ C2 davranışı) normal bir oyun-yama uygulamasında olmaması gereken davranışlardır. Bu yüzden teknik olarak — malicious / kötü amaçlı.
Resident Evil Revelations Türkçe yama V1.exe
teknik karşılaştırma
ilk dosyada da, bu dosyada da:
- script loads executable in Memory (antimalware scan ınterface) —
Bu satır, kodun amsı (Windows antimalware scan ınterface) denetimini bilinçli olarak atlatmaya çalıştığını gösterir.
→ Bellekten “exe” yükleme davranışı, zararlı yazılımların klasik taktiğidir.
→ Normal bir oyun yamasının buna asla ihtiyacı olmaz. - signed with an invalid certificate (0x800B0109) —
Aynı hata kodu, aynı tür sahte imza.
→ Bu da dosyanın aynı imzalama aracı ya da aynı fake sertifika ile hazırlanmış olabileceğini gösteriyor.
ne anlama geliyor?
Bu dosya da aynı imza problemi + aynı AMSI bypass davranışı sergiliyorsa:
- Çok büyük olasılıkla aynı zararlı altyapının farklı bir “yama” kılıfı.
- Yani bu “yama yapıyorum” görünümünde dağıtılan yazılım serisi, aslında arka planda benzer kodu çalıştırıyor (belki de tek fark isim ve içerik).
sonuç
Evet, bu da zararlı sınıfına giriyor.
İlk dosya kadar detaylı analiz olmasa bile, aynı iki güçlü “malicious indicator” (amsı bypass + sahte imza) → aynı üretim zincirinden geldiğini gösteriyor.
basitçe:
Son düzenleyen: Moderatör:
