Manuel Statik Analiz (LLM Okumali) — BlackMatter / Yanlis Etiketli LockBit | Tehdit: YUKSEK
Archivo Kimligi
| SHA256 | cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b |
|---|---|
| Format | Windows DLL (PE32) |
| Tamaño | 104.448 byte |
| String Sayisi | 579 |
Etiketleme Sorunu
Onemli: Bu ornek MalwareBazaar veritabaninda
lockbit etiketi ile sunulmaktadir. Ancak statik string analizi LockBit ailesine ozgu string imzalarini ortaya cikarmamistir. Archivonin BlackMatter ransomware ailesine ait oldugu degerlendiriliyor. MalwareBazaar'daki yanlıs etiketleme, topluluk kaynakli IOC atamalarında zaman zaman gorulen bir sorundur.
Analiz Bulgulari
- DLL formatinda — dogrudan calistirilmayan, bir loader tarafindan bellek icine yuklenen modul
- 579 string — dusuk string sayisi; packer veya sadece sifreleme modulu oldugu izlenimi
- Cleartext ransom notu, URL veya email IOC bulunamadi — sifrelenmis veya ayri modulde
- LockBit'e ozgu "LockBit", sertifika bilgisi veya ransom notu paterni tespit edilmedi
BlackMatter Hakkinda
BlackMatter, 2021 yilinda DarkSide ve REvil (Sodinokibi) gruplarinin dagilmasinin ardindan faaliyete gecen RaaS (Ransomware-as-a-Service) ailesidir. Hem Windows hem de Linux VMware ESXi encryptor bilesenlerine sahiptir. ABD kritik altyapisina saldirmasinin ardindan (Colonial Pipeline benzeri hedeflerden kaciniyor demeleri karisik) 2021 sonunda kapanmistir. BlackBasta, BlackMatter'in devami niteligi tasimaktadir.
IOC
| SHA256 | cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b |
|---|---|
| Format | Windows DLL |
| Gercek Familia | BlackMatter (MB etiketi: LockBit — Yanlis) |
BlackMatter — Perfil del malware
BlackMatter RaaS 2021. DarkSide devami. Cobalt Strike+run-as-admin. ABD kritik altyapi.
Tipo de malware
Ransomware
Lenguaje de programación
C
Protocolo C2
—
Sistemas objetivo
Windows/Linux
Capacidades y comportamiento
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
Lista IOC (1 indicadores)
IOC — BlackMatter
# SHA256
cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b |
Servidores C2 (6 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| mojobiden.com | domain | — | — | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
| supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion | domain | 80 | HTTPS | inactive | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.