Conti | 脅威レベル: critical | 種別: Ransomware

暗号学的識別子

SHA256c0a2e1ecf57ee83b649f1d8ff8dd37049865edc8b9a837f3b4ebb5e767229c23
MD58cc24750661e10f55eb250b42f8ce528
ファイル種別exe
サイズ109.5 KB
初回確認2023-10-30
ファイル名decryptor.exe
タグconti, Conty, Decryptor, exe

マルウェア ファミリー: Conti

Conti, büyük saldırılar yaptı.

種別Ransomware
プログラミング言語C++
対象プラットフォームWindows/Linux
C2 プロトコル
目的Kurum ransomware
初回確認年2020

脅威指標 (IOC)

  • SHA256: c0a2e1ecf57ee83b649f1d8ff8dd37049865edc8b9a837f3b4ebb5e767229c23
  • MD5: 8cc24750661e10f55eb250b42f8ce528

このサンプルのすべてのハッシュ値は VirusTotal で検証できます。

システム クリーンアップ ガイド

  1. Sistemi ağdan DERHAL ayırın — diğer cihazlara yayılmayı durdurun
  2. 身代金は支払わない(ファイル復旧の保証はありません)
  3. 影響を受けたドライブを隔離する
  4. Kullanılan fidye yazılımı ailesini belirleyin (nomoreransom.org)
  5. 利用可能な復号ツールを試す(NoMoreRansom プロジェクト)
  6. 当局(サイバー犯罪対策部門)に通報する
  7. Temiz bir yedekten kurtarın; yedeğiniz yoksa sürücüyü saklayın

YARA ルールのヒント

rule Conti_SHA256 {
    meta:
        description = "Conti sample: c0a2e1ecf57ee83b"
        threat_level = "critical"
        first_seen = "2023-10-30"
    condition:
        hash.sha256(0, filesize) == "c0a2e1ecf57ee83b649f1d8ff8dd37049865edc8b9a837f3b4ebb5e767229c23"
}

Conti — マルウェアプロファイル

Conti ransomware. run-as-admin.exe UAC bypass. supp onion victim support. __MUTEX_NAME__ template. DisallowRun security block. TrickBot/BazarLoader delivery.

マルウェアの種類
Ransomware
プログラミング言語
C++
C2プロトコル
標的システム
Windows/Linux

技術詳細

Conti ransomware operated by WIZARD SPIDER, active 2020-2022. One of the most prolific and destructive RaaS operations. Double extortion: file encryption + data leak site (Conti News). Encryption: ChaCha20 for files + RSA-4096 for key exchange. Highly configurable with full C source code (supports network drives, SMB shares). Conti Playbook leaked September 2021 revealing TTPs. Source code and internal chats leaked by Ukrainian researcher March 2022 after Conti publicly sided with Russia in Ukraine conflict. Attack on Costa Rica government (2022) caused national emergency declaration. Dissolved into multiple successor groups: Black Basta, BlackByte, Royal, Akira.

アトリビューション / 脅威アクター

WIZARD SPIDER, multiple successor groups

機能と挙動

Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)

IOCリスト (2 件の指標)

IOC — Conti
# SHA256 c0a2e1ecf57ee83b649f1d8ff8dd37049865edc8b9a837f3b4ebb5e767229c23 # MD5 8cc24750661e10f55eb250b42f8ce528
タイプメモ
sha256 c0a2e1ecf57ee83b649f1d8ff8dd37049865edc8b9a837f3b4ebb5e767229c23 Sample:Conti
md5 8cc24750661e10f55eb250b42f8ce528 Sample:Conti

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス タイプ ポート プロトコル ステータス
mojobiden.com domain 80 HTTP active —
mojobiden.com domain 80 HTTP active —
213.234.12.78 ip 8080 HTTP inactive UA
paymenthacks.com domain 443 HTTPS inactive —
myosbja7hixkkjqihsjh6yvmqplz62gr3r4isctjjtu2vm5jg6hsv2ad.onion domain 80 HTTPS inactive —
mblogci3rudehaagbryjznltdp33ojwzkq6hn2pckvjq33rycmzczpid.onion domain 80 HTTPS inactive —
paymenthacks.com domain 80 HTTP inactive —
85.62.61.3 ip 443 HTTPS sinkholed RU

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ
contiransomwaremalwarecriticalsha256hash-analizi