암호학적 식별자
| SHA256 | b14cde376a8a7a9d7ad34cdfd07108c132ad8be7f60c5c0a0f17b6b63eb28b49 |
|---|---|
| MD5 | 1acdaba338e67c748e56aa81a27a9831 |
| 파일 형식 | exe |
| 크기 | 691.0 KB |
| 최초 발견 | 2022-08-29 |
| 파일 이름 | tmpk1kkgin5.bin |
| 태그 | conti, exe, Ransomware |
악성코드 패밀리: Conti
Conti, büyük saldırılar yaptı.
| 유형 | Ransomware |
|---|---|
| 프로그래밍 언어 | C++ |
| 대상 플랫폼 | Windows/Linux |
| C2 프로토콜 | — |
| 목적 | Kurum ransomware |
| 최초 발견 연도 | 2020 |
위협 지표 (IOC)
- SHA256:
b14cde376a8a7a9d7ad34cdfd07108c132ad8be7f60c5c0a0f17b6b63eb28b49 - MD5:
1acdaba338e67c748e56aa81a27a9831
이 샘플의 모든 해시 값을 VirusTotal에서 확인할 수 있습니다.
시스템 정리 가이드
- Sistemi ağdan DERHAL ayırın — diğer cihazlara yayılmayı durdurun
- 몸값을 지불하지 마세요 — 파일 복구는 보장되지 않습니다
- 영향을 받은 드라이브를 격리하세요
- Kullanılan fidye yazılımı ailesini belirleyin (nomoreransom.org)
- 사용 가능한 복호화 도구를 시도하세요 (NoMoreRansom 프로젝트)
- 수사 기관(사이버 범죄 수사대)에 신고하세요
- Temiz bir yedekten kurtarın; yedeğiniz yoksa sürücüyü saklayın
YARA 규칙 힌트
rule Conti_SHA256 {
meta:
description = "Conti sample: b14cde376a8a7a9d"
threat_level = "critical"
first_seen = "2022-08-29"
condition:
hash.sha256(0, filesize) == "b14cde376a8a7a9d7ad34cdfd07108c132ad8be7f60c5c0a0f17b6b63eb28b49"
}
Conti — 악성코드 프로필
Conti ransomware. run-as-admin.exe UAC bypass. supp onion victim support. __MUTEX_NAME__ template. DisallowRun security block. TrickBot/BazarLoader delivery.
기술 세부 정보
Conti ransomware operated by WIZARD SPIDER, active 2020-2022. One of the most prolific and destructive RaaS operations. Double extortion: file encryption + data leak site (Conti News). Encryption: ChaCha20 for files + RSA-4096 for key exchange. Highly configurable with full C source code (supports network drives, SMB shares). Conti Playbook leaked September 2021 revealing TTPs. Source code and internal chats leaked by Ukrainian researcher March 2022 after Conti publicly sided with Russia in Ukraine conflict. Attack on Costa Rica government (2022) caused national emergency declaration. Dissolved into multiple successor groups: Black Basta, BlackByte, Royal, Akira.
귀속 / 위협 행위자
WIZARD SPIDER, multiple successor groups
기능 및 동작
IOC 목록 (2 개 지표)
# SHA256
b14cde376a8a7a9d7ad34cdfd07108c132ad8be7f60c5c0a0f17b6b63eb28b49
# MD5
1acdaba338e67c748e56aa81a27a9831
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | b14cde376a8a7a9d7ad34cdfd07108c132ad8be7f60c5c0a0f17b6b63eb28b49 | Sample:Conti |
| md5 | 1acdaba338e67c748e56aa81a27a9831 | Sample:Conti |
C2 서버 (이 패밀리에 대해 8개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| mojobiden.com | domain | 80 | HTTP | active | — |
| mojobiden.com | domain | 80 | HTTP | active | — |
| 213.234.12.78 | ip | 8080 | HTTP | inactive | UA |
| paymenthacks.com | domain | 443 | HTTPS | inactive | — |
| myosbja7hixkkjqihsjh6yvmqplz62gr3r4isctjjtu2vm5jg6hsv2ad.onion | domain | 80 | HTTPS | inactive | — |
| mblogci3rudehaagbryjznltdp33ojwzkq6hn2pckvjq33rycmzczpid.onion | domain | 80 | HTTPS | inactive | — |
| paymenthacks.com | domain | 80 | HTTP | inactive | — |
| 85.62.61.3 | ip | 443 | HTTPS | sinkholed | RU |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.