Manuel Statik Analiz — LockBit 3.0 (Black) Ransomware | Tehdit: KRITIK

Файл Kimliği

SHA256032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
Имя файлаbl3.exe (LockBit 3 = "Black" resmi adlandırması)
Размер994.457 byte
String Sayisi4.994

Parola Korumalı Kriptolama

Свойство: LockBit 3, çalıştırma için şifre gerektiriyor — analisti yanıltmak ve sandboxları bypass etmek için!
&Enter password for the encrypted file:
-- Komut satırı argument olarak şifre gerektiriyor
-- Şifre olmadan çalışmaz → sandbox auto-analizi engeller!
Cannot create folder %s
HChecksum error in the encrypted file

LockBit Hakkında

LockBit, 2019'dan beri aktif dünyanın en büyük RaaS grubudur. LockBit 3.0 (Black), Haziran 2022'de piyasaya çıkmış ve BlackMatter/DarkSide kodundan ilham almıştır. FBI ve EUROPOL'un ortak operasyonlarının hedefi olmuştur. Şifreli çalıştırma özelliği ile sandbox/AV analizini zorlaştırır.

IOC

SHA256032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
İsimbl3.exe (LockBit 3 / Black)
СвойствоŞifreli çalıştırma (sandbox bypass)

LockBit — Профиль вредоносного ПО

LockBit 3.0 (LockBit Black). bl3.exe builder. CryptProtectMemory DPAPI key protection. WinRAR SFX delivery.

Тип вредоносного ПО
Ransomware
Язык программирования
C++
C2 Протокол
—
Целевые системы
Windows/Linux
Другие названия (AKA)
LockBit 3.0

Технические детали

C, RSA-2048 + AES-256 sifreleme (hibrid), vssadmin ile shadow copy silme, Active Directory enum, LockBit Builder ile ozel varyant uretimi, multi-threaded encryption, ransom note TXT/HTA

Возможности и поведение

Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)

Список IOC (1 индикаторов)

IOC — LockBit
# SHA256 032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
ТипЗначениеПримечание
sha256 032690f113289d50994457b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 len=62
LockBit — Полный профиль →

C2 Серверы (2 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
35.227.107.189 ip 443 HTTPS sinkholed US
89.185.85.239 ip 443 HTTPS sinkholed NL

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
lockbitlockbit3bl3-exepassword-protectedransomwareraasanti-debug