ALPHV BlackCat -- 2cuqgeerjdba2rhd Tor Onion URL, wmic csproduct UUID VM Tespiti, Node.js Gömülü Runtime, Konfigürasyon Yapısı | Kritik

Файл Kimliği

Tor Onion C2: Müzakere Portalı

http://2cuqgeerjdba2rhdiviezodpu3lc4qz2sjf4qin6f7std2evleqlzjid.onion/
-- 2cuqgeerjdba2rhdiviezodpu3lc4qz2sjf4qin6f7std2evleqlzjid = 52 char v3 onion
-- ALPHV'nin kurban müzakere sitesi (fidye pazarlık portalı)
-- Tor browser'da erişilebilir
-- Kurban: bu URL'e gidip saldırganla iletişime geçiyor

VM Tespiti: wmic csproduct get UUID

wmic csproduct get UUID
-- "csproduct" = ComputerSystem Product
-- UUID = Evrensel Benzersiz Tanımlayıcı
-- VM'lerde UUID genellikle sabitlenmiş: "564D..." (VMware), "0000-0000..." (VirtualBox)
-- ALPHV: UUID'ye bakarak VM mi fiziksel mi belirliyor
-- VM tespitinde çalışmayı durdurabilir veya yavaşlatabilir

Node.js Gömülü Runtime

Node.js API crypto.randomFillSync is unavailable
Node.js crypto module is unavailable
-- ALPHV bazı varyantları Node.js runtime içeriyor
-- crypto.randomFillSync = CSPRNG (güvenli rasgele sayı üreteci)
-- Node.js yok → alternatif entropi kaynağı kullanıyor
-- Hibrit yaklaşım: Rust core + Node.js scripting katmanı

Konfigürasyon Yapısı

_directory_namesexclude_director_file_extensionsexclude_file_extault_file_cipher
-- Birleştirilmiş JSON field adları (config struct içinden):
-- "directory_names"         → şifrelenecek/atlanacak klasörler
-- "exclude_directory"       → atlanacak klasörler (Windows\, System32\...)
-- "file_extensions"         → hedef dosya uzantıları
-- "exclude_file_ext"        → atlanacak uzantılar (.exe .dll .sys...)
-- "default_file_cipher"     → varsayılan şifreleme algoritması (AES-128 CTR?)
-- ALPHV yapılandırma tam özelleştirilebilir RaaS modeli

IOC