Ryuk - 23f8aa94ffb3c08a62735fe7fee5799880a8f322 [23f8aa94]

Ryuk | 脅威レベル: critical | 種別: Ransomware

暗号学的識別子

SHA256	`23f8aa94ffb3c08a62735fe7fee5799880a8f322ce1d55ec49a13a3f85312db2`
MD5	`5ac0f050f93f86e69026faea1fbb4450`
ファイル種別	exe
サイズ	384.0 KB
初回確認	2022-02-17
ファイル名	23f8aa94ffb3c08a62735fe7fee5799880a8f322ce1d55ec49a13a3f85312db2
タグ	exe, Ryuk

マルウェアファミリー: Ryuk

Ryuk, Wizard Spider ile ilişkilidir.

種別	Ransomware
プログラミング言語	C
対象プラットフォーム	Windows
C2 プロトコル	—
目的	Hastane hedefli ransomware
初回確認年	2018

脅威指標 (IOC)

SHA256: 23f8aa94ffb3c08a62735fe7fee5799880a8f322ce1d55ec49a13a3f85312db2
MD5: 5ac0f050f93f86e69026faea1fbb4450

システムクリーンアップガイド

Sistemi ağdan DERHAL ayırın — diğer cihazlara yayılmayı durdurun
身代金は支払わない（ファイル復旧の保証はありません）
影響を受けたドライブを隔離する
Kullanılan fidye yazılımı ailesini belirleyin (nomoreransom.org)
利用可能な復号ツールを試す（NoMoreRansom プロジェクト）
Yetkililere ihbarda bulunun
Temiz bir yedekten kurtarın

YARA ルールのヒント

rule Ryuk_SHA256 {
    meta:
        description = "Ryuk sample: 23f8aa94ffb3c08a"
        threat_level = "critical"
        first_seen = "2022-02-17"
    condition:
        hash.sha256(0, filesize) == "23f8aa94ffb3c08a62735fe7fee5799880a8f322ce1d55ec49a13a3f85312db2"
}

Ryuk — マルウェアプロファイル

Wizard Spider threat group ransomware (2018+). Targets large enterprises, hospitals, municipalities. RyukReadMe.html ransom note. VirtualAllocEx+WriteProcessMemory+CreateRemoteThread injection. GetIpNetTable ARP scan for lateral movement. AdjustTokenPrivileges for SeBackupPrivilege/SeDebugPrivilege.

マルウェアの種類

Ransomware

プログラミング言語

C2プロトコル

—

標的システム

Windows

技術詳細

Ryuk ransomware emerged August 2018, operated by WIZARD SPIDER (TrickBot operators). Targeted large organizations for high ransoms ($100K-$12.5M+ per victim). Distribution: delivered via TrickBot/BazarLoader infections (human-operated). Encryption: RSA-2048 + AES-256 (CBC mode), unique key per file. Stops 40+ Windows services (backup, antivirus, database) and kills >180 processes. Deletes volume shadow copies (vssadmin delete shadows /all /Quiet). Disables Windows recovery: bcdedit /set {default} recoveryenabled No. Network propagation: uses Wake-on-LAN to activate sleeping network hosts for encryption. Believed based on Hermes ransomware sold by a North Korean-linked actor on underground forums. Predecessor to Conti ransomware which emerged from WIZARD SPIDER's operations in 2020.

アトリビューション / 脅威アクター

WIZARD SPIDER (linked to Hermes/Lazarus initial code)

機能と挙動

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

IOCリスト (2 件の指標)

IOC — Ryuk

# SHA256
23f8aa94ffb3c08a62735fe7fee5799880a8f322ce1d55ec49a13a3f85312db2

# MD5
5ac0f050f93f86e69026faea1fbb4450

タイプ	値	メモ
sha256	23f8aa94ffb3c08a62735fe7fee5799880a8f322ce1d55ec49a13a3f85312db2
md5	5ac0f050f93f86e69026faea1fbb4450

Ryuk — 完全プロファイルへ →

C2サーバー (このファミリーで2台のサーバーを記録)

アドレス	タイプ	ポート	プロトコル	ステータス	国
51.161.204.106	ip	443	HTTPS	sinkholed	CA
162.119.249.198	ip	443	HTTPS	sinkholed	US

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ

ryukransomwaremalwarecriticalsha256analizzenginleştirilmiş