Manuel Statik Analiz — Yanluowang Ransomware | Tehdit: KRITIK
파일 Kimliği
| SHA256 | d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 파일 이름 | yan1.exe (Yanluowang imzası — "yan" + "1" versiyon) |
| 크기 | 408.040 byte |
| String Sayisi | 2.228 |
Geliştirici "cake" — Rahat Takma Ad
PDB İpucu: Tehdit aktörü "cake" takma adını kullanıyor — ciddi bir APT için olağandışı rahat kullanıcı adı!
C:\Users\cake\Desktop\project-main\project-main\ConsoleApplication2\cryptopp-master\... -- Kullanıcı: "cake" (muhtemelen Çince konuşan?) -- Proje klasörü: "project-main" (GitHub klonu!) -- "ConsoleApplication2" = Visual Studio varsayılan proje adı -- CryptoPP şifreleme kütüphanesi yüklü
Chrome Proses Öldürme
taskkill /f /im chrome* -- Chrome'u öldür (dosyaları kilitlemesin diye) AdjustTokenPrivileges -- SYSTEM yetkisi alma OpenProcessToken -- Proses token manipülasyonu
Yanluowang Hakkında
Yanluowang, 2021'de keşfedilen ve Cisco'nun 2022'deki ihlalinde kullanıldığı bildirilen ransomware ailesidir. İnsan hakları aktivistleri ve gazetecileri de hedeflediği bilinmektedir. Çin mitolojisindeki "Yanluowang" (Ölüm tanrısı) adını taşır. Temmuz 2022'de şifre çözme anahtarları sızdırılmıştır.
IOC
| SHA256 | d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| PDB | C:\Users\cake\Desktop\project-main (GitHub klonu) |
| Öldür | taskkill /f /im chrome* |
Yanluowang — 악성코드 프로필
Yanluowang Cisco 2022 saldiginda kullanildi. developer "cake" CryptoPP. Chrome killer. Cin APT.
악성코드 유형
Ransomware
프로그래밍 언어
C++
C2 프로토콜
HTTPS
대상 시스템
Kuresel Kurumsal/Aktivist
기능 및 동작
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
IOC 목록 (1 개 지표)
IOC — Yanluowang
# SHA256
d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | d11793433065633b408040b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 | len=62 |