WannaCry Fidye Yazılımı: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com Kill Switch, RSA+AES Şifreli Packed DLL

Genel Bakış

Bu örnek, tarihin en büyük fidye yazılımı saldırılarından biri olan WannaCry'nin (WannaCrypt) kill switch domain'ini içeren, RSA+AES ile şifreli ve packed bir PE32+ DLL'dir. İçerdiği iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com adresi, Mayıs 2017'de güvenlik araştırmacısı Marcus Hutchins tarafından sinkhole yapılarak WannaCry salgınını durduran meşhur domain'dir.

WannaCry Kill Switch Analizi

Kill Switch Mekanizması

WannaCry her çalıştığında önce bu domain'e bağlanmayı dener
Domain erişilebilirse → yayılmayı durdurur (kill switch aktif)
Domain erişilemezse → şifreleme ve yayılmaya devam eder
Marcus Hutchins bu domain'i sadece 10.69$'a kaydederek 2017 küresel saldırıyı durdurdu

Kritik URL

http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com

Şifreleme Bileşenleri

Microsoft Enhanced RSA and AES Cryptographic Provider
CryptAcquireContextA → Windows kriptografi context başlatma
CryptDecrypt → payload çözme
Gömülü büyük RSA şifreli blok (2048-bit RSA key pair dahil)

PE Yapısı

Entropi: 7.496 (packed/şifreli bölümler — yüksek entropi WannaCry karakteristiği)
Network: InternetOpenUrlA, InternetOpenA (kill switch kontrolü)
Format: PE32+ DLL (console) x86-64
Taille: 743.424 bayt (extracted)

Tarihsel Bağlam

12 Mayıs 2017: WannaCry 150+ ülkede 200.000+ sisteme bulaştı
Kullanılan exploit: EternalBlue (NSA'nın SMBv1 güvenlik açığı)
Toplam zarar: 4-8 milyar USD
İngiltere NHS hastaneleri, Telefónica, FedEx, Deutsche Bahn etkilendi
Kill switch: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com — random görünen hardcoded string

Teknik Propriétéler

Propriété	Valeur
Famille	WannaCry (WannaCrypt, Wcry)
Format	PE32+ DLL console x86-64
Taille	743.424 bayt
Entropi	7.496 (packed)
Şifreleme	RSA-2048 + AES-128-CBC
Kill Switch	iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com
SMB Exploit	EternalBlue (MS17-010)

IOC Özeti

Kill Switch URL: http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com
SHA256: b3cbe2897f850313c9051016f1ef6bcc37a61c9cf86ef9a3f1ba61581ad38014

WannaCry — Profil du malware

WannaCry EternalBlue SMB ransomware. 2017 NSA açık. RSA public key hardcoded. ChangeServiceConfig2A servis kalıcılığı. 150+ ülke.

Type de malware

Ransomware

Langage de programmation

Protocole C2

—

Systèmes ciblés

Windows

Aussi connu sous (AKA)

WannaCrypt

Détails techniques

EternalBlue SMB exploit (CVE-2017-0144), DoublePulsar backdoor, kill-switch domain (registrasyonla durduruldu), RSA-2048 + AES-128-CBC sifreleme, .WNCRY dosya uzantisi, Tor C2

Capacités et comportement

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

Liste IOC (3 indicateurs)

IOC — WannaCry

# SHA256
b3cbe2897f850313c9051016f1ef6bcc37a61c9cf86ef9a3f1ba61581ad38014

# DOMAIN
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com

# URL
http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com

Type	Valeur	Note
sha256	b3cbe2897f850313c9051016f1ef6bcc37a61c9cf86ef9a3f1ba61581ad38014
domain	iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com
url	http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com

WannaCry — Voir le profil complet →

Serveurs C2 (3 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	80	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	443	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com	domain	443	TCP	sinkholed	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.