NjRAT PowerShell IOC'leri

NjRAT, siber saldırganlar tarafından kullanılan sofistike bir uzaktan erişim aracı (RAT) olup, birçok kötü niyetli faaliyet için kullanılmaktadır. Bu yazıda, NjRAT ile ilgili PowerShell IOC'lerini (Indicator of Compromise - Tehdit Göstergeleri) inceleyeceğiz ve bu göstergeleri nasıl tanıyabileceğinizi detaylandıracağız.

NjRAT'ın en çok bilinen özelliklerinden biri, PowerShell kullanarak sistemlere sızabilmesidir. Saldırganlar, PowerShell komutlarını kullanarak uzaktan erişim sağlayabilir, dosyaları indirebilir ve kurban sistemlerinde kötü niyetli yazılımlar çalıştırabilir. İşte NjRAT ile ilişkili bazı önemli IOC'ler:

• PowerShell Komutları: NjRAT genellikle şifrelenmiş veya obfuscate edilmiş PowerShell komutları ile yüklenir. Örneğin, "Invoke-WebRequest" veya "Invoke-Expression" gibi komutlar sıkça kullanılır. Bu komutları izlemek, potansiyel saldırıları tespit etmek için faydalıdır.
  
• Şüpheli URL'ler: NjRAT, kötü amaçlı yazılımların indirildiği belirli URL'ler aracılığıyla çalışır. Bu URL'ler genellikle rastgele oluşturulmuş veya kısa URL hizmetleri kullanılarak gizlenmiştir. Tespit edilen URL'leri analiz etmek önemlidir.
  
• Dosya İndirme ve Yürütme: NjRAT, hedef sisteme dosya indirmek için PowerShell'i kullanabilir. "Start-Process" veya "New-Object System.Net.WebClient" gibi komutlar ile dosyaların yürütülmesi dikkat edilmesi gereken IOC'lerdir.
  
• Kötü Amaçlı Dosya İmzaları: NjRAT ile ilişkili kötü amaçlı dosyalar genellikle belirli imzalara sahiptir. Bu dosyaların imza bilgilerini incelemek, sistemdeki tehditleri tanımlamaya yardımcı olabilir.

NjRAT'ın izlenmesi, siber güvenlik uzmanları için önemli bir görevdir. Yukarıda belirtilen IOC'ler, sistemlerin güvenliğini sağlamak için dikkate alınması gereken temel göstergelerdir. Bu tür göstergeleri tespit etmek, potansiyel bir saldırının önlenmesinde kritik bir adım olabilir. Özellikle, PowerShell kullanımının izlenmesi, bu tür tehditlerin erken aşamalarda tespit edilmesine yardımcı olacaktır.