Dharma Ransomware -- firemail.cc .cc TLD İletişim, uncryptfile.com Şifre Çözme, 2 BTC Cüzdan | Yüksek

Manuel Statik Analiz — Dharma Ransomware (Crysis Famíliasi) | Tehdit: YUKSEK

Arquivo Kimliği

SHA256	`5671112c276673ee1095680b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Tamanho	1.095.680 byte
String Sayisi	5.092

Fidye İletişim ve Ödeme Altyapısı

firemail.cc       -- .cc = Cocos Adaları TLD (az bilinen)
                  -- Anonim email servisi üzerinden kurban iletişimi
uncryptfile.com   -- Dharma'nın kendi şifre çözme servisi!
                  -- "Dosyanızı buradan çözebilirsiniz" tuzağı
https://localbitcoins.com/buy_bitcoins  -- Bitcoin satın alma rehberi
http://www.coindesk.com/information/how-can-i-  -- Bitcoin bilgi

Bitcoin Cüzdanlar

13bpPxtiX48ccfV6ampj4kpfz3wLuvtp1lW
13URQhAKhdqlxZUgBBiGwHEsbLuGaWpkMhk

Dharma Hakkında

Dharma (Crysis varyantı), 2016'dan beri aktif olan RaaS fidye yazılımıdır. RDP brute force ile giriş yapar, AES-256 + RSA-1024 ile şifreler. firemail.cc üzerinden kurban iletişimi sağlar. 2020'de kaynak kodu sızdı ve birçok varyant ortaya çıktı. Küçük/orta işletmeleri hedefler.

IOC

SHA256	`5671112c276673ee1095680b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Email C2	firemail.cc (.cc Cocos Islands)
Servis	uncryptfile.com
BTC	13bpPxtiX48ccfV6ampj4kpfz3wLuvtp1lW
BTC	13URQhAKhdqlxZUgBBiGwHEsbLuGaWpkMhk

Dharma — Perfil do malware

Dharma ransomware. firemail.cc email iletisim. wmic shadowcopy delete yedek imhasi. Crypto++ RSA+AES. Çok yıllık aktif.

Tipo de malware

Ransomware

Linguagem de programação

C++

Protocolo C2

—

Sistemas-alvo

Windows

Também conhecido como (AKA)

Crysis

Detalhes técnicos

Ransomware ailesi: AES/RSA hibrid sifreleme, dosya uzantisi degistirme, shadow copy silme, C2 ile anahtar alis-verisi, fidye notu birakma, kullanici belgelerine odaklanma

Capacidades e comportamento

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

Lista IOC (4 indicadores)

IOC — Dharma

# DOMAIN
firemail.cc

# DOMAIN
uncryptfile.com

# DOMAIN
localbitcoins.com

# DOMAIN
coindesk.com

Tipo	Valor	Nota
domain	firemail.cc
domain	uncryptfile.com
domain	localbitcoins.com
domain	coindesk.com

Dharma — Ver perfil completo →

Servidores C2 (2 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
firemail.cc	domain	443	HTTPS	active	—
uncryptfile.com	domain	443	HTTPS	inactive	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.