Çözüldü Trojan:MSIL/Bobik.PTFJ!MTB nedir?

Lotototo dedi:

Selamlar,

Macro Recorder adresinden, Jitbit Macro Recorder uygulamasını indirdim, kendime göre bi makro ayarladım EXE'ye çıkardığım anda Windows Defender, EXE'yi Trojan:MSIL/Bobik.PTFJ!MTB olarak gördü, EXE olarak çıkarana kadar kullanımda herhangi bir sorun yoktu, False Positive midir yoksa sıkıntı mı?

Genişletmek için tıkla...

Lotototo dedi:

@Phenyl
-Detection kısmı
-Behaviour kısmı

Exe olarak çıkarana kadar uygulamanın kendisinde bir sorun yoktu, indirdiğim link de sahte değil Jitbit'in orjinal sitesi diye düşünüyorum.

Genişletmek için tıkla...

Gözlemlenmiş teknik eylemler​

1. Anti-analysis
   • IsDebuggerPresent çağrısı ve GetTickCount kullanımı ile debugger/sandbox tespiti.
   • Uzun uyku (long-sleeps) ile davranışı geciktirip dinamik analizden saklanma.
2. Dosya sistemi etkileşimi
   • Çalıştırılan / yazılan dosyalar: C:\Users\<USER>\Desktop\bot.exe, CRYPTSP.dll.
   • Log dosyası oluşturma/yazma: C:\Users\<USER>\AppData\Local\Microsoft\CLR_v4.0_32\UsageLogs\bot.exe.log.
   • Muhtemel self-drop / self-copy davranışı (kendi kopyasını oluşturup çalıştırma).
3. Process / Execution
   • Yeni süreç başlatma: bot.exe birden fazla PID ile çalıştırılmış.
   • Windows servis süreçleriyle etkileşim: services.exe, svchost.exe, wmiprvse.exe (WMI yoluyla erişim/komut çalıştırma ihtimali).
   • Bazı süreçlerin (veya kendi süreçlerinin) sonlandırılması gözlemlenmiş.
4. Registry erişimi
   • Okunan anahtarlar: HKEY_CURRENT_USER\EUDC\1252, .NETFramework\XML, Windows\CurrentVersion\Themes\Personalize, Software\Classes\CLSID\{...}.
   • Bu tip okumalar sistem konfigürasyon keşfi ve potansiyel kalıcılık/COM hijack keşfi içindir.
5. .NET runtime kullanımı
   • Yüklenen runtime modülleri: clr.dll, mscoree.dll, mscorlib.ni.dll vb. → .NET tabanlı binary.
6. Ağ / DNS aktivitesi
   • DNS çözümlemeleri: dns.google, sajatypeworks.comi, sajatypeworks.comk.
   • Muhtemel C2 bağlantısı veya veri sızdırma girişimleri (DNS ve HTTP(S) URL patternleri listelenmiş).
7. Bellek / pattern eşleşmeleri
   • Bellekte tespit edilen URL/domain pattern’leri ve GitHub / scripts.sil.org gibi referanslar (muhtemelen meşru kaynakları maskelemek için kullanılan stringler).
8. Koleksiyon / Credential Access
   • Davranış katalogu: Collection, Credential Access başlıkları — veri toplanması ve kimlik bilgisi erişimi riski.

Gözlemlenen IOCs (kısa liste)​

• Dosyalar: C:\Users\<USER>\Desktop\bot.exe, C:\Users\<USER>\Desktop\CRYPTSP.dll, C:\Users\<USER>\AppData\Local\Microsoft\CLR_v4.0_32\UsageLogs\bot.exe.log
• Registry anahtarları: HKEY_CURRENT_USER\Software\Classes\CLSID\{01B90D9A-8209-47F7-9C52-E1244BF50CED}, (diğer GUID’ler listede)
• Domain / DNS: sajatypeworks.comi, sajatypeworks.comk, dns.google
• Behavior similarity hashes:
  • CAPA: ba02937845a6b61184314c57cccb0075
  • CAPE Sandbox: cf2bb549c8626e2b4b0e80d71455c0fa
  • VirusTotal Jujubox: d8b4afd871b9e0acaac35d88dcf4831a
  • Zenbox: 6da02557f6205cee782007e7df51e3bb

Hızlı teknik kontroller (Windows)​

• Çalışan süreçleri ve PID’i göster:
  tasklist /v
  wmic process where "name='bot.exe'" get ProcessId,CommandLine,ParentProcessId
• Ağ bağlantıları / hangi süreç hangi bağlantıyı açmış:
  netstat -ano | findstr :80 (veya genel: netstat -ano)
  Get-Process -Id <PID> | Select-Object * (PowerShell)
• DNS önbelleğini kontrol:
  ipconfig /displaydns | findstr /i "sajatypeworks"
• Hizmetler ve şüpheli otomatik başlatma noktaları:
  sc queryex type= service state= all | findstr /i "bot"
  reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"
• Dosya sisteminde iz sürme:
  dir /s /b C:\Users\<USER>\Desktop\bot.exe
  Get-ChildItem -Path C:\Users\<USER>\AppData -Recurse -Force | Where-Object Name -match "bot|cryptsp"
• Önbellek / log toplayın (adli amaç):
  • Windows Event Logs: wevtutil qe System /q:"*[System[(TimeCreated>= '2025-10-23T00:00:00.000Z')]]" (tarih aralığını ayarla)
  • DNS cache: ipconfig /displaydns > dnscache.txt
  • Running processes snapshot: tasklist /v > processes.txt
  • Netstat + owner: netstat -abno > netstat.txt (yönetici)

• Bu program sessizce arka planda çalıştı.
• Önce “biri beni izliyor mu?” diye kontrol etti, sonra uzun süre bekleyip dikkat çekmemeye çalıştı.
• Kendi kopyasını masaüstüne koydu ve bot.exe olarak çalıştırdı.
• Küçük bir günlük dosyası yazdı (ne yaptığını kaydetmek için).
• Bilgisayarın ayarlarına göz attı — sistemde neler var, neler yapılabiliyor diye “kurcaladı”.
• Windows’un normal çalışan parçalarının içine karışmaya çalıştı, böylece fark edilmesi zorlaştı.
• İnternete çıkıp bazı şüpheli adreslere baktı — muhtemelen uzaktaki bir sunucuya bağlanıp bilgi göndermek ya da uzaktan talimat almak için.