Manuel Statik Analiz — NightSky Ransomware | Tehdit: KRITIK
ファイル Kimliği
| SHA256 | ff5757086c464d624f4a6674d65409fb6fa84ad5ac0895xx3ebc994ba9494 |
|---|---|
| サイズ | 9.768.448 byte (9.7MB) |
| String Sayisi | 39.912 |
İletişim ve Ödeme Adresleri
https://contact.nightsky.cyou -- NightSky birincil iletişim URL'si gg5ryfgogainisskdvh4y373ap3b2mxafcibeh2lvq5x7fx76ygcosad.onion -- Tor .onion ödeme / müzakere portalı
Fidye Notunda YouTube Dark Web Rehberi
İlginç: Fidye notunda kurbanın Tor tarayıcısını nasıl kuracağını açıklamak için YouTube linki veriliyor!
"How to access dark web sites:" https://www.youtube.com/watch?v=NpXEQHDOA5o -- YouTube üzerinden dark web erişim rehberi -- Teknik olmayan kurbanlar için adım adım talimat
PDB Geliştirici Kanıtı
C:\Users\IEUser\Desktop\nightsky.bin -- "IEUser" = Windows Sandbox/sanal makine varsayılan kullanıcı adı -- Geliştirici sandbox ortamında derlemiş -- Dosya adı "nightsky.bin" — açık isim vermiş!
NightSky Hakkında
NightSky, Aralık 2021'de keşfedilen ve Log4Shell (CVE-2021-44228) açığından faydalanan ransomware ailesidir. Çin bağlantılı DEV-0401 tehdit grubuna atfedilmektedir. VMware Horizon sunucularını hedef almış ve ABD, Asya'daki çok sayıda kuruluşu etkilemiştir.
IOC
| SHA256 | ff5757086c464d624f4a6674d65409fb6fa84ad5ac0895xx3ebc994ba9494 |
|---|---|
| İletişim | contact.nightsky.cyou |
| Onion | gg5ryfgogainisskdvh4y373ap3b2mxafcibeh2lvq5x7fx76ygcosad.onion |
| Atıf | DEV-0401 / Çin APT (Log4Shell CVE-2021-44228) |
NightSkyRansom — マルウェアプロファイル
NightSky RaaS Log4Shell CVE-2021-44228. nightsky.cyou+Tor. YouTube rehberi fidye notunda. DEV-0401 Çin APT.
マルウェアの種類
Ransomware
プログラミング言語
C++
C2プロトコル
HTTPS/Tor
標的システム
Kuresel Kurumsal
機能と挙動
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
IOCリスト (2 件の指標)
IOC — NightSkyRansom
# DOMAIN
gg5ryfgogainisskdvh4y373ap3b2mxafcibeh2lvq5x7fx76ygcosad.onion
# DOMAIN
youtube.com
| タイプ | 値 | メモ |
|---|---|---|
| domain | gg5ryfgogainisskdvh4y373ap3b2mxafcibeh2lvq5x7fx76ygcosad.onion | |
| domain | youtube.com |
C2サーバー (このファミリーで1台のサーバーを記録)
| アドレス | タイプ | ポート | プロトコル | ステータス | 国 |
|---|---|---|---|---|---|
| contact.nightsky.cyou | domain | 443 | HTTPS | inactive | — |
C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。