WannaCry -- iuqerfsodp9ifjapo Kill Switch Domain, WANACRY! String, 3 BTC Cüzdan | Kritik

Manuel Statik Analiz — WannaCry (WannaCrypt) | Tehdit: KRITIK

Arquivo Kimliği

SHA256	`b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Tamanho	743.424 byte
String Sayisi	3.352

Tarihi Kill Switch Domaini

Dünya tarihinin en önemli malware kill switch'i! MarcusHutchins bu domaini kaydederek WannaCry salgınını durdurdu.

http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com
-- Domain kayıtlı değilse: WannaCry şifreleme başlatır
-- Domain kayıtlıysa ve NXDOMAIN değilse: DURUR!
-- 12 Mayıs 2017: MarcusHutchins $10.69'a kaydetti ve yayılmayı durdurdu
-- 22 yaşındaki güvenlik araştırmacısı milyonlarca sistemi kurtardı
WANACRY!    -- Kill switch mutex kontrolü
Global\MsWinZonesCacheCounterMutexA  -- Yeniden enfeksiyon önleme mutex

Bitcoin Cüzdanlar

115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn
12EAUVyWUyy4qYnqoAqdq3FLUh
12t9YDPgwueZ9NyMgw519p7
-- Toplam fidye: ~52 BTC (~130,000 USD 2017 değeriyle)
-- Fidye düşük kaldı: otomatik ödeme doğrulama yoktu

WannaCry Hakkında

WannaCry, 12 Mayıs 2017'de başlayan ve 150+ ülkede 200.000+ sistemi etkileyen küresel fidye yazılımı saldırısıdır. NSA'nın EternalBlue (MS17-010) açığını SMBv1 üzerinden kullanır. Kuzey Kore'nin Lazarus grubu tarafından gerçekleştirildi. İngiltere NHS sağlık sistemi, Telefonica, FedEx gibi kurumlar etkilendi.

IOC

SHA256	`b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2`
Kill Switch	iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com
BTC	115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn
String	WANACRY!

WannaCry — Perfil do malware

WannaCry EternalBlue SMB ransomware. 2017 NSA açık. RSA public key hardcoded. ChangeServiceConfig2A servis kalıcılığı. 150+ ülke.

Tipo de malware

Ransomware

Linguagem de programação

Protocolo C2

—

Sistemas-alvo

Windows

Também conhecido como (AKA)

WannaCrypt

Detalhes técnicos

EternalBlue SMB exploit (CVE-2017-0144), DoublePulsar backdoor, kill-switch domain (registrasyonla durduruldu), RSA-2048 + AES-128-CBC sifreleme, .WNCRY dosya uzantisi, Tor C2

Capacidades e comportamento

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

Lista IOC (3 indicadores)

IOC — WannaCry

# DOMAIN
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com

# MUTEX
115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn 

# MUTEX
12EAUVyWUyy4qYnqoAqdq3FLUh

Tipo	Valor	Nota
domain	iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com
mutex	115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn	BTC cüzdanı
mutex	12EAUVyWUyy4qYnqoAqdq3FLUh	BTC cüzdanı

WannaCry — Ver perfil completo →

Servidores C2 (3 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	80	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	443	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com	domain	443	TCP	sinkholed	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.