HiddenTear -- endyou.xn--6frz82g Japonca Punycode C2, FlatChestWare Kullanıcı Loli PDB, encryptAES SendPassword | Yüksek

Manuel Statik Analiz — HiddenTear Ransomware | Tehdit: YUKSEK

Fichier Kimliği

SHA256	`f8d907099731ba44937984b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Nom du fichier	FlatWare.exe ("FlatChestWare" projesinin gizlenmiş adı)
Taille	937.984 byte (916KB)
String Sayisi	4.999

endyou.xn--6frz82g: Japonca Punycode C2!

C2 TESPİT: Uluslararası Punycode alan adı C2!

http://www.endyou.xn--6frz82g/listen/listen.php
-- "xn--6frz82g" = Punycode kodlu Japonca TLD
-- xn--6frz82g = 旅 (Japonca: "yolculuk/seyahat")
-- "endyou" = "seni bitir" (İngilizce: end + you)
-- "endyou.[旅]" = Japonca TLD'li İngilizce isim
-- "/listen/listen.php" = C2 endpoint (dinle)
-- Punycode gizleme: ASCII görünümlü ama gerçek karakter farklı

Geliştirici PDB: "Loli" Kullanıcısı

GELİŞTİRİCİ KİMLİĞİ:

C:\Users\Loli\Documents\Visual Studio 2015\Projects\FlatChestWare\obj\Release
-- Kullanıcı adı: "Loli"
-- VS 2015 ile geliştirilmiş
-- Proje adı: "FlatChestWare" (FlatWare.exe olarak dağıtılmış)
-- HiddenTear: GitHub'da yayınlanan açık kaynak ransomware (2015)
-- "FlatChestWare" = HiddenTear türevi, kendi versiyonu

AES Şifreleme Zinciri

encryptAES           -- AES ile dosya şifrele
bytesToBeEncrypted   -- şifrelenecek byte dizisi
SendPassword         -- şifreleme şifresini C2'ye gönder!
CreatePassword       -- şifreleme şifresi üret
-- Süreç: CreatePassword → şifre oluştur → AES ile şifrele → SendPassword → C2'ye gönder
-- Kurban dosyaları şifrelendikten sonra şifre C2'de
-- HiddenTear'ın zayıflığı: eski versiyonlarda şifre sabit/tahmin edilebilir

IOC

SHA256	`f8d907099731ba44937984b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
C2 URL	http://www.endyou.xn--6frz82g/listen/listen.php
PDB	C:\Users\Loli\...\FlatChestWare\obj\Release

HiddenTear — Profil du malware

HiddenTear açık kaynak ransomware. FlatChestWare türevi. Loli kullanıcısı. encryptAES SendPassword CreatePassword. Punycode C2.

Type de malware

Ransomware

Langage de programmation

C#/.NET

Protocole C2

HTTP

Systèmes ciblés

Küresel

Capacités et comportement

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

Liste IOC (1 indicateurs)

IOC — HiddenTear

# SHA256
f8d907099731ba44937984b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Type	Valeur	Note
sha256	f8d907099731ba44937984b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

HiddenTear — Voir le profil complet →

Serveurs C2 (1 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
endyou.xn--6frz82g	domain	80	HTTP	inactive	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.