Manuel Statik Analiz — BlackMatter Ransomware | Tehdit: KRITIK
Archivo Kimliği
| SHA256 | b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Nombre de archivo | run-as-admin.exe (ayrıcalık yükseltme aracı) |
| Tamaño | 515.584 byte |
| String Sayisi | 2.078 |
Cobalt Strike C2 Sunucuları
C2: BlackMatter Cobalt Strike post-exploitation için sahte domain'ler kullanıyor!
http://mojobiden.com -- Cobalt Strike C2 (ABD Başkanı Biden taklidi!) http://paymenthacks.com -- Cobalt Strike C2 (ödeme altyapısı taklidi)
Fidye Notu
"BlackMatter Ransomware encrypted all your files!" "Your network is encrypted, and cu..."
Tor .onion Ödeme Paneli
supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion -- BlackMatter kurban müzakere Tor sitesi
BlackMatter Hakkında
BlackMatter, Temmuz-Kasım 2021 arasında aktif olan RaaS grubudur. DarkSide'ın devamı olduğu değerlendirilmektedir. ABD kritik altyapı (petrol boru hattı, tarım) hedeflerinden sonra operasyonunu durdurmuştur. Cobalt Strike kullanarak kurumsal ağlarda lateral movement yapar.
IOC
| SHA256 | b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| CS C2 | mojobiden.com |
| CS C2 | paymenthacks.com |
| Onion | supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion |
BlackMatter — Perfil del malware
BlackMatter RaaS 2021. DarkSide devami. Cobalt Strike+run-as-admin. ABD kritik altyapi.
Tipo de malware
Ransomware
Lenguaje de programación
C
Protocolo C2
—
Sistemas objetivo
Windows/Linux
Capacidades y comportamiento
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
Lista IOC (3 indicadores)
IOC — BlackMatter
# DOMAIN
mojobiden.com
# DOMAIN
paymenthacks.com
# DOMAIN
supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion
| Tipo | Valor | Nota |
|---|---|---|
| domain | mojobiden.com | |
| domain | paymenthacks.com | |
| domain | supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion |
Servidores C2 (6 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| mojobiden.com | domain | — | — | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
| supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion | domain | 80 | HTTPS | inactive | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.