WannaCry2 -- h6agLCqPqVyXi2VSQ8O6Yb9ijBX54jY6KM Base64 RSA Anahtar Blobu, ChangeServiceConfig2A Servis Kalıcılığı | Kritik

Manuel Statik Analiz — WannaCry | Tehdit: CRÍTICO

Arquivo Kimliği

SHA256	`b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Tamanho	743.424 byte (726KB)
String Sayisi	3.352

Base64 RSA Anahtar Blobu

ŞİFRELEME: Gömülü RSA şifreleme anahtarı!

h6agLCqPqVyXi2VSQ8O6Yb9ijBX54jY6KM+sz33NmS6TK8XlOk920s0E0aajOV+
-- Base64 kodlanmış RSA anahtar blobu
-- WannaCry dosya şifreleme sistemi:
   1. Kurban dosyaları için rastgele AES-128 anahtarı üret
   2. Her AES anahtarını bu RSA public key ile şifrele
   3. RSA private key sadece saldırganların sunucusunda
   4. Fidye ödenince private key → AES anahtarları açılıyor
-- "+sz33NmS6TK8XlOk920s0E0aajOV+" = fragmentin devamı
-- Hardcoded public key = her örnek aynı master public key kullanır

ChangeServiceConfig2A: Servis Kalıcılığı

ChangeServiceConfig2A (advapi32.dll)
-- WannaCry kendini Windows servisi olarak kurar
-- ChangeServiceConfig2A → servisin açıklamasını ve özelliklerini değiştirir
-- Sistem yeniden başlatıldığında otomatik çalışır
-- SERVICE_AUTO_START → makinayı her açıldığında çalışır + şifrelemeye devam

IOC

SHA256	`b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
RSA Key Blobu	h6agLCqPqVyXi2VSQ8O6Yb9ijBX54jY6KM+sz33NmS6TK8XlOk920s0E0aajOV+
Kalıcılık	ChangeServiceConfig2A (Windows servisi)

WannaCry — Perfil do malware

WannaCry EternalBlue SMB ransomware. 2017 NSA açık. RSA public key hardcoded. ChangeServiceConfig2A servis kalıcılığı. 150+ ülke.

Tipo de malware

Ransomware

Linguagem de programação

Protocolo C2

—

Sistemas-alvo

Windows

Também conhecido como (AKA)

WannaCrypt

Detalhes técnicos

EternalBlue SMB exploit (CVE-2017-0144), DoublePulsar backdoor, kill-switch domain (registrasyonla durduruldu), RSA-2048 + AES-128-CBC sifreleme, .WNCRY dosya uzantisi, Tor C2

Capacidades e comportamento

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

Lista IOC (1 indicadores)

IOC — WannaCry

# SHA256
b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Tipo	Valor	Nota
sha256	b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

WannaCry — Ver perfil completo →

Servidores C2 (3 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	80	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	443	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com	domain	443	TCP	sinkholed	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.