Manuel Statik Analiz — LockBit 3.0 (Black) Ransomware | Tehdit: KRITIK
Datei Kimliği
| SHA256 | 032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Dateiname | bl3.exe (LockBit 3 = "Black" resmi adlandırması) |
| Größe | 994.457 byte |
| String Sayisi | 4.994 |
Parola Korumalı Kriptolama
Eigenschaft: LockBit 3, çalıştırma için şifre gerektiriyor — analisti yanıltmak ve sandboxları bypass etmek için!
&Enter password for the encrypted file: -- Komut satırı argument olarak şifre gerektiriyor -- Şifre olmadan çalışmaz → sandbox auto-analizi engeller! Cannot create folder %s HChecksum error in the encrypted file
LockBit Hakkında
LockBit, 2019'dan beri aktif dünyanın en büyük RaaS grubudur. LockBit 3.0 (Black), Haziran 2022'de piyasaya çıkmış ve BlackMatter/DarkSide kodundan ilham almıştır. FBI ve EUROPOL'un ortak operasyonlarının hedefi olmuştur. Şifreli çalıştırma özelliği ile sandbox/AV analizini zorlaştırır.
IOC
| SHA256 | 032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| İsim | bl3.exe (LockBit 3 / Black) |
| Eigenschaft | Şifreli çalıştırma (sandbox bypass) |
LockBit — Malware-Profil
LockBit 3.0 (LockBit Black). bl3.exe builder. CryptProtectMemory DPAPI key protection. WinRAR SFX delivery.
Malware-Typ
Ransomware
Programmiersprache
C++
C2-Protokoll
—
Zielsysteme
Windows/Linux
Auch bekannt als (AKA)
LockBit 3.0
Technische Details
C, RSA-2048 + AES-256 sifreleme (hibrid), vssadmin ile shadow copy silme, Active Directory enum, LockBit Builder ile ozel varyant uretimi, multi-threaded encryption, ransom note TXT/HTA
Fähigkeiten & Verhalten
Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)
IOC-Liste (1 Indikatoren)
IOC — LockBit
# SHA256
032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
| Typ | Wert | Bemerkung |
|---|---|---|
| sha256 | 032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 | len=62 |
C2-Server (2 erfasste Server für diese Familie)
| Adresse | Typ | Port | Protokoll | Status | Land |
|---|---|---|---|---|---|
| 35.227.107.189 | ip | 443 | HTTPS | sinkholed | US |
| 89.185.85.239 | ip | 443 | HTTPS | sinkholed | NL |
C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.