Giriş

Eline yeni bir Qakbot örneği geçtiğinde ilk engel paketleyici. Bu yazı, bir günlük statik analiz oturumunun kaydı: API hash çözme, sandbox tespitini atlatma ve gömülü konfigi çıkarma.

Anti-analiz katmanı

Qakbot, import tablosunu gizlemek için API isimlerini çalışma zamanında hash’ten çözer. Hash algoritması basit bir ROR-13; bir lookup tablosu üretip her çağrıyı isimlendirmek mümkün. Sandbox tespiti CPU çekirdek sayısı, mouse hareketi ve bilinen analiz süreçlerine bakıyor.

ror13("LoadLibraryA")  = 0x726774c
ror13("GetProcAddress") = 0x7c0dfcaa

Konfig çıkarma

Asıl payload, RC4 ile şifreli bir kaynak bölümünde. Anahtar .data’da sabit. Çözünce C2 IP listesi ve kampanya kimliği açık metin olarak ortaya çıkıyor.

Sonuç

Statik çıkarılan IOC’lar SOC ekibine verildi; örnek halka açık bir koleksiyondan alındı, canlı bir kuruma dokunulmadı.