Genel Bakış

Bu örnek, C++ ile yazılmış ve Crypto++ kütüphanesini kullanan özel bir fidye yazılımıdır. AES-NI donanım hızlandırma ve boost::thread ile çok iş parçacıklı şifreleme yapan bu malware; .locked uzantısı ve README-NOW.txt fidye notu bırakmaktadır. Geliştirici dizininden crypto-locker proje adı tespit edilmiştir.

Teknik Analiz

Şifreleme Altyapısı

  • Crypto++ Kütüphanesi: PDB yolundan doğrulandı: E:\crypto-locker\cryptopp\src\rijndael_simd.cpp
  • AES-NI: AESNI — Intel AES donanım hızlandırma (hızlı şifreleme)
  • CryptAcquireContext, CryptAcquireContextA → Windows CryptoAPI entegrasyonu
  • .?AVAsymmetricAlgorithm@CryptoPP@@ → RSA asimetrik şifreleme

Çok İş Parçacıklı Şifreleme

  • boost::thread (1.68): Paralel şifreleme için iş parçacığı havuzu
  • boost::concurrent::detail::sync_queue_base → şifreli dosya kuyruğu
  • priority_queue<crypto_locker::path_entry> → hedef dosya önceliklendirme

ファイル Operasyonları

  • Uzantı: .locked
  • Fidye notu: README-NOW.txt
  • ファイル hedefleme: boost::filesystem::path

Fidye Notu İçeriği

"Attempts to restore your data with third party software as Photorec, RannohDecryptor etc."

"Send us 2-3 different random files and you will get them decrypted."

İletişim e-postaları:

  • AbbsChevis@protonmail.com
  • IjuqodiSunovib98@o2.pl

Geliştirici İzleri

  • PDB: E:\crypto-locker\cryptopp\src\rijndael_simd.cpp
  • PDB: E:\crypto-locker\tpls_MSVC\include\boost-1_68\boost/thread/...

Teknik 項目ler

項目値
DilC++ (MSVC)
ŞifrelemeAES-NI (Crypto++ Rijndael)
Threadingboost::thread 1.68
Uzantı.locked
NotREADME-NOW.txt
C2E-posta iletişimi

IOC Özeti

  • E-posta: AbbsChevis@protonmail.com
  • E-posta: IjuqodiSunovib98@o2.pl
  • Fidye Notu: README-NOW.txt
  • Uzantı: .locked
  • SHA256: 8d5c41543fcc5b7b652b1a16cd3fca0fe3062f8379447c04968c5261cde7deb0

IOCリスト (3 件の指標)

IOC — Custom Ransomware
# SHA256 8d5c41543fcc5b7b652b1a16cd3fca0fe3062f8379447c04968c5261cde7deb0 # EMAIL AbbsChevis@protonmail.com # EMAIL IjuqodiSunovib98@o2.pl
タイプ値メモ
sha256 8d5c41543fcc5b7b652b1a16cd3fca0fe3062f8379447c04968c5261cde7deb0
email AbbsChevis@protonmail.com
email IjuqodiSunovib98@o2.pl
タグ
ransomwarecryptoppaes-niboost-threadcpplockedprotonmailcryptolockerrijndaelhardware-aes