Ryuk - 0cf36731f5b8651d53fc651607c3fccac24b631c [0cf36731]

Ryuk | 脅威レベル: critical | 種別: Ransomware

暗号学的識別子

SHA256	`0cf36731f5b8651d53fc651607c3fccac24b631c08dca4493d8e07d2fbff1db3`
MD5	`2209710b3ba686e5cbd8716df05c5174`
ファイル種別	exe
サイズ	167.0 KB
初回確認	2020-06-10
ファイル名	0cf36731f5b8651d53fc651607c3fccac24b631c08dca4493d8e07d2fbff1db3
タグ	Ryuk

マルウェアファミリー: Ryuk

Ryuk, Wizard Spider ile ilişkilidir.

種別	Ransomware
プログラミング言語	C
対象プラットフォーム	Windows
C2 プロトコル	—
目的	Hastane hedefli ransomware
初回確認年	2018

脅威指標 (IOC)

SHA256: 0cf36731f5b8651d53fc651607c3fccac24b631c08dca4493d8e07d2fbff1db3
MD5: 2209710b3ba686e5cbd8716df05c5174

システムクリーンアップガイド

Sistemi ağdan DERHAL ayırın — diğer cihazlara yayılmayı durdurun
身代金は支払わない（ファイル復旧の保証はありません）
影響を受けたドライブを隔離する
Kullanılan fidye yazılımı ailesini belirleyin (nomoreransom.org)
利用可能な復号ツールを試す（NoMoreRansom プロジェクト）
Yetkililere ihbarda bulunun
Temiz bir yedekten kurtarın

YARA ルールのヒント

rule Ryuk_SHA256 {
    meta:
        description = "Ryuk sample: 0cf36731f5b8651d"
        threat_level = "critical"
        first_seen = "2020-06-10"
    condition:
        hash.sha256(0, filesize) == "0cf36731f5b8651d53fc651607c3fccac24b631c08dca4493d8e07d2fbff1db3"
}

Ryuk — マルウェアプロファイル

Wizard Spider threat group ransomware (2018+). Targets large enterprises, hospitals, municipalities. RyukReadMe.html ransom note. VirtualAllocEx+WriteProcessMemory+CreateRemoteThread injection. GetIpNetTable ARP scan for lateral movement. AdjustTokenPrivileges for SeBackupPrivilege/SeDebugPrivilege.

マルウェアの種類

Ransomware

プログラミング言語

C2プロトコル

—

標的システム

Windows

技術詳細

Ryuk ransomware emerged August 2018, operated by WIZARD SPIDER (TrickBot operators). Targeted large organizations for high ransoms ($100K-$12.5M+ per victim). Distribution: delivered via TrickBot/BazarLoader infections (human-operated). Encryption: RSA-2048 + AES-256 (CBC mode), unique key per file. Stops 40+ Windows services (backup, antivirus, database) and kills >180 processes. Deletes volume shadow copies (vssadmin delete shadows /all /Quiet). Disables Windows recovery: bcdedit /set {default} recoveryenabled No. Network propagation: uses Wake-on-LAN to activate sleeping network hosts for encryption. Believed based on Hermes ransomware sold by a North Korean-linked actor on underground forums. Predecessor to Conti ransomware which emerged from WIZARD SPIDER's operations in 2020.

アトリビューション / 脅威アクター

WIZARD SPIDER (linked to Hermes/Lazarus initial code)

機能と挙動

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

IOCリスト (2 件の指標)

IOC — Ryuk

# SHA256
0cf36731f5b8651d53fc651607c3fccac24b631c08dca4493d8e07d2fbff1db3

# MD5
2209710b3ba686e5cbd8716df05c5174

タイプ	値	メモ
sha256	0cf36731f5b8651d53fc651607c3fccac24b631c08dca4493d8e07d2fbff1db3
md5	2209710b3ba686e5cbd8716df05c5174

Ryuk — 完全プロファイルへ →

C2サーバー (このファミリーで2台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
51.161.204.106	ip	443	HTTPS	sinkholed	CA
162.119.249.198	ip	443	HTTPS	sinkholed	US

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

ryukransomwaremalwarecriticalsha256analizzenginleştirilmiş