Manuel Statik Analiz — Yanluowang Ransomware | Tehdit: KRITIK
Fichier Kimliği
| SHA256 | d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Nom du fichier | yan1.exe (Yanluowang imzası — "yan" + "1" versiyon) |
| Taille | 408.040 byte |
| String Sayisi | 2.228 |
Geliştirici "cake" — Rahat Takma Ad
PDB İpucu: Tehdit aktörü "cake" takma adını kullanıyor — ciddi bir APT için olağandışı rahat kullanıcı adı!
C:\Users\cake\Desktop\project-main\project-main\ConsoleApplication2\cryptopp-master\... -- Kullanıcı: "cake" (muhtemelen Çince konuşan?) -- Proje klasörü: "project-main" (GitHub klonu!) -- "ConsoleApplication2" = Visual Studio varsayılan proje adı -- CryptoPP şifreleme kütüphanesi yüklü
Chrome Proses Öldürme
taskkill /f /im chrome* -- Chrome'u öldür (dosyaları kilitlemesin diye) AdjustTokenPrivileges -- SYSTEM yetkisi alma OpenProcessToken -- Proses token manipülasyonu
Yanluowang Hakkında
Yanluowang, 2021'de keşfedilen ve Cisco'nun 2022'deki ihlalinde kullanıldığı bildirilen ransomware ailesidir. İnsan hakları aktivistleri ve gazetecileri de hedeflediği bilinmektedir. Çin mitolojisindeki "Yanluowang" (Ölüm tanrısı) adını taşır. Temmuz 2022'de şifre çözme anahtarları sızdırılmıştır.
IOC
| SHA256 | d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| PDB | C:\Users\cake\Desktop\project-main (GitHub klonu) |
| Öldür | taskkill /f /im chrome* |
Yanluowang — Profil du malware
Yanluowang Cisco 2022 saldiginda kullanildi. developer "cake" CryptoPP. Chrome killer. Cin APT.
Type de malware
Ransomware
Langage de programmation
C++
Protocole C2
HTTPS
Systèmes ciblés
Kuresel Kurumsal/Aktivist
Capacités et comportement
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
Liste IOC (1 indicateurs)
IOC — Yanluowang
# SHA256
d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
| Type | Valeur | Note |
|---|---|---|
| sha256 | d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 | len=62 |