Manuel Statik Analiz (LLM Okumali) — BlackMatter / Yanlis Etiketli LockBit | Tehdit: YUKSEK
Arquivo Kimligi
| SHA256 | cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b |
|---|---|
| Format | Windows DLL (PE32) |
| Tamanho | 104.448 byte |
| String Sayisi | 579 |
Etiketleme Sorunu
Onemli: Bu ornek MalwareBazaar veritabaninda
lockbit etiketi ile sunulmaktadir. Ancak statik string analizi LockBit ailesine ozgu string imzalarini ortaya cikarmamistir. Arquivonin BlackMatter ransomware ailesine ait oldugu degerlendiriliyor. MalwareBazaar'daki yanlıs etiketleme, topluluk kaynakli IOC atamalarında zaman zaman gorulen bir sorundur.
Analiz Bulgulari
- DLL formatinda — dogrudan calistirilmayan, bir loader tarafindan bellek icine yuklenen modul
- 579 string — dusuk string sayisi; packer veya sadece sifreleme modulu oldugu izlenimi
- Cleartext ransom notu, URL veya email IOC bulunamadi — sifrelenmis veya ayri modulde
- LockBit'e ozgu "LockBit", sertifika bilgisi veya ransom notu paterni tespit edilmedi
BlackMatter Hakkinda
BlackMatter, 2021 yilinda DarkSide ve REvil (Sodinokibi) gruplarinin dagilmasinin ardindan faaliyete gecen RaaS (Ransomware-as-a-Service) ailesidir. Hem Windows hem de Linux VMware ESXi encryptor bilesenlerine sahiptir. ABD kritik altyapisina saldirmasinin ardindan (Colonial Pipeline benzeri hedeflerden kaciniyor demeleri karisik) 2021 sonunda kapanmistir. BlackBasta, BlackMatter'in devami niteligi tasimaktadir.
IOC
| SHA256 | cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b |
|---|---|
| Format | Windows DLL |
| Gercek Família | BlackMatter (MB etiketi: LockBit — Yanlis) |
BlackMatter — Perfil do malware
BlackMatter RaaS 2021. DarkSide devami. Cobalt Strike+run-as-admin. ABD kritik altyapi.
Tipo de malware
Ransomware
Linguagem de programação
C
Protocolo C2
—
Sistemas-alvo
Windows/Linux
Capacidades e comportamento
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
Lista IOC (1 indicadores)
IOC — BlackMatter
# SHA256
cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | cd6d48dbb8a4124df11e72d4a975bfacafc55059dd258db5a0f92700cbca1c3b |
Servidores C2 (6 servidores registrados para esta família)
| Endereço | Tipo | Porta | Protocolo | Status | País |
|---|---|---|---|---|---|
| mojobiden.com | domain | — | — | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| mojobiden.com | domain | 443 | HTTPS | active | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
| supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion | domain | 80 | HTTPS | inactive | — |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.