MedusaLocker -- medusakxxtp3uo7vu Tor + medusa.su Sovyet C2, mike PDB, BTC Cüzdan | Kritik

Manuel Statik Analiz — MedusaLocker Ransomware | Tehdit: KRITIK

Datei Kimliği

SHA256	`2e62a782c84149953dd216d96fec8e0f4d4b568525bbaa7b3c5a4f7d0e2b6c9`
Größe	683.008 byte (683KB)
String Sayisi	3.632

Üçlü Tor Onion C2 Altyapısı

3 Farklı Tor Onion C2!

http://medusakxxtp3uo7vusntvubnytaph4d3amxivbggl3hnhpk2nmus34yd.onion/c382a94f750481d...
-- /c382a94f750481d = kurban kimlik hash'i ile dinamik endpoint
gktf7uqsqyfry4ebnxlcbkccyd.onion
-- Yedek onion (birincil düşerse)
medusaxko7jxtrojdkxo66...onion
-- Üçüncü onion (çeşitlilik = takedown direnci)
medusa.su
-- .su (Sovyet Union) TLD clearnet geri dönüş C2!

Geliştirici PDB Parmak İzi

C:\Users\mike\AppData\Local\Temp\9144a60ac86d4c91f7553768.exe
-- Geliştirici kullanıcı adı: "mike"
-- Temp klasöründe test derleme
-- "9144a60ac86d4c91f7553768.exe" = benzersiz build ismi

Ransomware Yapılandırma Stringleri

File is already encrypted.       -- Tekrar şifreleme kontrolü
encrypt system                   -- Sistem şifreleme komutu
load_encryption_key:File open error -- RSA/AES key yükleme hatası
G:\Medu...                       -- Şifreleme hedef drive prefix

Bitcoin Cüzdanlar

1tu3wupmw7LxErfAyqcfATE8fLlF8d
1WH4HzZoe6g8EVqWS9McLA6SAW2AIn4oJLf

IOC

SHA256	`2e62a782c84149953dd216d96fec8e0f4d4b568525bbaa7b3c5a4f7d0e2b6c9`
Tor C2	medusakxxtp3uo7vusntvubnytaph4d3amxivbggl3hnhpk2nmus34yd.onion
C2	medusa.su (.su Sovyet TLD)
PDB	C:\Users\mike\AppData\Local\Temp\9144...exe
BTC	1tu3wupmw7LxErfAyqcfATE8fLlF8d

MedusaLocker — Malware-Profil

MedusaLocker RaaS 2019. Triple Tor onion + medusa.su. mike PDB. BTC fidye. RSA+AES sifreliyor. G drive prefix.

Malware-Typ

Ransomware

Programmiersprache

C++

C2-Protokoll

TCP

Zielsysteme

Windows

Technische Details

Ransomware ailesi: AES/RSA hibrid sifreleme, dosya uzantisi degistirme, shadow copy silme, C2 ile anahtar alis-verisi, fidye notu birakma, kullanici belgelerine odaklanma

Fähigkeiten & Verhalten

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

IOC-Liste (3 Indikatoren)

IOC — MedusaLocker

# DOMAIN
medusakxxtp3uo7vusntvubnytaph4d3amxivbggl3hnhpk2nmus34yd.onion

# DOMAIN
gktf7uqsqyfry4ebnxlcbkccyd.onion

# DOMAIN
medusa.su

Typ	Wert	Bemerkung
domain	medusakxxtp3uo7vusntvubnytaph4d3amxivbggl3hnhpk2nmus34yd.onion
domain	gktf7uqsqyfry4ebnxlcbkccyd.onion
domain	medusa.su

MedusaLocker — Zum vollständigen Profil →

C2-Server (1 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
medusa.su	domain	443	HTTPS	inactive	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.