Yashma Ransomware Builder v1.2: Ryuk.Net Fork, Medusa Tor C2 ve dongmin.liu Geliştirici İzi

Genel Bakış

Yashma Ransomware Builder v1.2, Ryuk.Net kaynak koduna dayanan bir fidye yazılımı builder'ıdır. Fidye notu ve şifreli dosya listesi oluşturma, VSS silme ve recovery mode devre dışı bırakma gibi kritik özellikleri içeren bu builder, çalıştırıldığında özelleştirilebilir bir ransomware payload üretmektedir. C2 olarak Medusa grubuyla ilişkili Tor adresi kullanmaktadır.

Teknik Analiz

Familie Bağlantısı: Yashma ← Ryuk.Net

Binary içinde Ryuk.Net.Properties.Resources ve Ryuk.Net.extensions namespace'leri tespit edilmiştir. Bu, Yashma'nın Ryuk ransomware C# kodunu forklayarak geliştirildiğini doğrulamaktadır.

C2 ve İletişim

Medusa Tor: medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd.onion
Telegram Ödeme Desteği: https://t.me/RansomwareSupportBot
Tor İndir: https://www.torproject.org/download/ (fidye notunda)

Geliştirici Parmak İzi

PDB: c:\Users\User\Desktop\v7\Decrypter\decrypter\obj\Debug\Yashma decrypter.pdb
PDB: C:\Users\dongmin.liu\Downloads\files\src\4\obj\Debug\Yashma ransomware builder v1.2.pdb
Geliştirici adı dongmin.liu — muhtemelen Çin kökenli tehdit aktörü

Şifreleme

RSA + AES şifreleme: RSACryptoServiceProvider, GetKeyString, get_encryptOption
100'den fazla dosya uzantısı hedeflenmektedir (.doc, .xls, .pdf, .jpg, .sql, .wallet, .vmdk...)

Anti-Kurtarma

deleteShadowCopiesCheckbox_CheckedChanged → VSS gölge kopyaları silme
disableRecoveryModeCheckbox_CheckedChanged → Windows recovery devre dışı
get_disableRecoveryMode / set_disableRecoveryMode

Builder Yapısı

Bu örnek builder uygulamasıdır, payload değildir. İçinde decrypter ve builder UI bileşenleri bulunmaktadır: deleteShadowCopiesCheckbox, disableRecoveryModeCheckbox, extensions_Load, SleepTextBox. Builder çalıştırıldığında özelleştirilmiş ransomware üretilmektedir.

Teknik Eigenschaftler

Eigenschaft	Wert
Platform	.NET Mono v4.0.30319
Typ	Ransomware Builder (GUI)
Şifreleme	RSA + AES
Tor C2	medusaxko7j...cyd.onion
Temel	Ryuk.Net (fork)

IOC Özeti

Tor C2: medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd.onion
Telegram: https://t.me/RansomwareSupportBot
Geliştirici: dongmin.liu
SHA256: d174cf908b7bcee10cc0458955554e5ba81beffd8544ae95a427fff643a41c86

IOC-Liste (3 Indikatoren)

IOC — Yashma Ransomware

# SHA256
d174cf908b7bcee10cc0458955554e5ba81beffd8544ae95a427fff643a41c86

# DOMAIN
medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd.onion

# URL
https://t.me/RansomwareSupportBot

Typ	Wert	Bemerkung
sha256	d174cf908b7bcee10cc0458955554e5ba81beffd8544ae95a427fff643a41c86
domain	medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd.onion
url	https://t.me/RansomwareSupportBot

C2-Server (1 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd.onion	domain	443	custom	inactive	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.