Manuel Statik Analiz — BlackMatter Ransomware | Tehdit: KRITIK
Fichier Kimliği
| SHA256 | b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Nom du fichier | run-as-admin.exe (ayrıcalık yükseltme aracı) |
| Taille | 515.584 byte |
| String Sayisi | 2.078 |
Cobalt Strike C2 Sunucuları
C2: BlackMatter Cobalt Strike post-exploitation için sahte domain'ler kullanıyor!
http://mojobiden.com -- Cobalt Strike C2 (ABD Başkanı Biden taklidi!) http://paymenthacks.com -- Cobalt Strike C2 (ödeme altyapısı taklidi)
Fidye Notu
"BlackMatter Ransomware encrypted all your files!" "Your network is encrypted, and cu..."
Tor .onion Ödeme Paneli
supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion -- BlackMatter kurban müzakere Tor sitesi
BlackMatter Hakkında
BlackMatter, Temmuz-Kasım 2021 arasında aktif olan RaaS grubudur. DarkSide'ın devamı olduğu değerlendirilmektedir. ABD kritik altyapı (petrol boru hattı, tarım) hedeflerinden sonra operasyonunu durdurmuştur. Cobalt Strike kullanarak kurumsal ağlarda lateral movement yapar.
IOC
| SHA256 | b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| CS C2 | mojobiden.com |
| CS C2 | paymenthacks.com |
| Onion | supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion |
BlackMatter — Profil du malware
BlackMatter RaaS 2021. DarkSide devami. Cobalt Strike+run-as-admin. ABD kritik altyapi.
Type de malware
Ransomware
Langage de programmation
C
Protocole C2
—
Systèmes ciblés
Windows/Linux
Capacités et comportement
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
Liste IOC (3 indicateurs)
IOC — BlackMatter
# DOMAIN
mojobiden.com
# DOMAIN
paymenthacks.com
# DOMAIN
supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion
| Type | Valeur | Note |
|---|---|---|
| domain | mojobiden.com | |
| domain | paymenthacks.com | |
| domain | supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion |
Serveurs C2 (6 serveurs enregistrés pour cette famille)
| Adresse | Type | Port | Protocole | Statut | Pays |
|---|---|---|---|---|---|
| mojobiden.com | domain | — | — | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
| supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion | domain | 80 | HTTPS | inactive | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.