NotPetya -- PC Developer VS2010 PDB, posteo.net Email, 1Mz7153H Tarihi BTC | Kritik

Manuel Statik Analiz — NotPetya (ExPetr) | Tehdit: KRITIK

Arquivo Kimliği

SHA256	`63545fa195488ff5399360b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Nome do arquivo	NotPetya.exe
Tamanho	399.360 byte
String Sayisi	2.337

Geliştirici PDB Kanıtı

C:\Users\PC\documents\visual studio 2010\Projects\NotPetya\Release\NotPetya.pdb
-- Kullanıcı: "PC" (generic ama developer makinesi teyit)
-- IDE: Visual Studio 2010 (eski nesil, imza izlemeyi zorlaştırır)
-- Proje: "NotPetya" (operatörler kendi isimlerini koymuş!)
-- Derleme: Release (üretim/operasyon derlemesi)

Fidye İletişim ve BTC

posteo.net  -- Alman anonim email servisi
            -- wowsmith123456@posteo.net (tarihi NotPetya email adresi)
            -- Posteo hesabı saldırı sonrası kapatıldı

1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX  -- TEK NotPetya BTC adresi!
-- Tüm kurbanlara aynı adres → gerçek fidye toplama değil!
-- Bu WIPER'in kanıtı: para maksatlı değil, imha için
-- Bu adrese ~$10,000 USD geldi; kullanılmadı

Ransom Note

Ooops, your important files are encrypted.

NotPetya Hakkında

NotPetya (ExPetr, Petya.A), 27 Haziran 2017'de Ukrayna'yı hedef alan ve tarihin en yıkıcı siber saldırısı olan wiper'dır. Şifreliyor ama kurtarma imkanı yok (fake ransomware). EternalBlue + Mimikatz credential harvesting ile yayılır. Rusya GRU'nun Sandworm grubu. Maersk, Merck, FedEx, Mondelez başta 10+ milyar USD hasar.

IOC

SHA256	`63545fa195488ff5399360b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Email	posteo.net (anonim Alman email)
BTC	1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX (tarihi tek adres)

NotPetya — Perfil do malware

NotPetya/ExPetr Sandworm GRU 2017. Ukrayna hedef. EternalBlue+Mimikatz yayilma. Wiper (sahte ransom). 10B+ USD hasar.

Tipo de malware

Wiper

Linguagem de programação

Protocolo C2

SMB

Sistemas-alvo

Ukrayna+Küresel

Capacidades e comportamento

Zararlı Yazılım Aktivitesi

Kalıcılık Mekanizması

C2 İletişimi

Anti-Analiz

Lista IOC (2 indicadores)

IOC — NotPetya

# DOMAIN
posteo.net

# MUTEX
1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX

Tipo	Valor	Nota
domain	posteo.net
mutex	1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX	BTC cüzdanı

NotPetya — Ver perfil completo →

Servidores C2 (1 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
posteo.net	domain	443	HTTPS	active	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.