HelloKitty Ransomware -- .onion C2, WMI Win32_ShadowCopy Silme, VMware ESXi Hedefi | Kritik

Datei Kimliği

Tor .onion C2

6x7dp6h3w6q3ugjv4yv5gycj3femb24kysgry5b44hhgfwc5ml5qrdad.onion
-- HelloKitty fidye ödeme / müzakere Tor paneli

VSS Shadow Copy Silme (WMI)

select * from Win32_ShadowCopy
Win32_ShadowCopy.ID='%s'  -- Her shadow copy ID silinir
avshadow.exe              -- Anti-AV shadow process

VMware ESXi Hedefleme

vmware-converter-a.exe  -- VMware ESXi hypervisor saldırısı
autorun.in, boot.in, desktop.in  -- Boot-level kalıcılık

Anti-Debug

GetTickCount, IsDebuggerPresent  -- Sandbox/debugger tespiti

HelloKitty Hakkında

HelloKitty (DeathRansom/FiveHands), 2020'den beri aktif RaaS ransomware ailesidir. CD Projekt Red saldırısında kullanılarak Cyberpunk 2077 kaynak kodunu çalmıştır. Windows sistemlerin yanı sıra VMware ESXi sunucularını da şifreleyebilir. Fidye ödemeleri için Tor .onion adresi kullanır.

IOC