WannaCry2 -- h6agLCqPqVyXi2VSQ8O6Yb9ijBX54jY6KM Base64 RSA Anahtar Blobu, ChangeServiceConfig2A Servis Kalıcılığı | Kritik

Manuel Statik Analiz — WannaCry | Tehdit: KRITISCH

Datei Kimliği

SHA256	`b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Größe	743.424 byte (726KB)
String Sayisi	3.352

Base64 RSA Anahtar Blobu

ŞİFRELEME: Gömülü RSA şifreleme anahtarı!

h6agLCqPqVyXi2VSQ8O6Yb9ijBX54jY6KM+sz33NmS6TK8XlOk920s0E0aajOV+
-- Base64 kodlanmış RSA anahtar blobu
-- WannaCry dosya şifreleme sistemi:
   1. Kurban dosyaları için rastgele AES-128 anahtarı üret
   2. Her AES anahtarını bu RSA public key ile şifrele
   3. RSA private key sadece saldırganların sunucusunda
   4. Fidye ödenince private key → AES anahtarları açılıyor
-- "+sz33NmS6TK8XlOk920s0E0aajOV+" = fragmentin devamı
-- Hardcoded public key = her örnek aynı master public key kullanır

ChangeServiceConfig2A: Servis Kalıcılığı

ChangeServiceConfig2A (advapi32.dll)
-- WannaCry kendini Windows servisi olarak kurar
-- ChangeServiceConfig2A → servisin açıklamasını ve özelliklerini değiştirir
-- Sistem yeniden başlatıldığında otomatik çalışır
-- SERVICE_AUTO_START → makinayı her açıldığında çalışır + şifrelemeye devam

IOC

SHA256	`b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
RSA Key Blobu	h6agLCqPqVyXi2VSQ8O6Yb9ijBX54jY6KM+sz33NmS6TK8XlOk920s0E0aajOV+
Kalıcılık	ChangeServiceConfig2A (Windows servisi)

WannaCry — Malware-Profil

WannaCry EternalBlue SMB ransomware. 2017 NSA açık. RSA public key hardcoded. ChangeServiceConfig2A servis kalıcılığı. 150+ ülke.

Malware-Typ

Ransomware

Programmiersprache

C2-Protokoll

—

Zielsysteme

Windows

Auch bekannt als (AKA)

WannaCrypt

Technische Details

EternalBlue SMB exploit (CVE-2017-0144), DoublePulsar backdoor, kill-switch domain (registrasyonla durduruldu), RSA-2048 + AES-128-CBC sifreleme, .WNCRY dosya uzantisi, Tor C2

Fähigkeiten & Verhalten

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

IOC-Liste (1 Indikatoren)

IOC — WannaCry

# SHA256
b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Typ	Wert	Bemerkung
sha256	b3cbe2897f850313743424b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

WannaCry — Zum vollständigen Profil →

C2-Server (3 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	80	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com	domain	443	TCP	sinkholed	—
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwff.com	domain	443	TCP	sinkholed	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.