B.crypted Ransomware: Tor C2, WMI Shadow Copy Silme ve Webroot/COMODO/CrowdStrike Hedefleme

Genel Bakış

B.crypted Ransomware, gelişmiş bir fidye yazılımıdır. Dosyaları .B.crypted uzantısıyla şifreleyerek Tor anonimlik ağı üzerinden ödeme talep eder. WMI kullanarak gölge kopyaları silen bu malware; özellikle Webroot, COMODO ve diğer güvenlik ürünlerini hedef alarak önce güvenlik süreçlerini sonlandırır, ardından şifrelemeye başlar.

Teknik Analiz

Tor C2 Altyapısı

C2 Adresi: 6x7dp6h3w6q3ugjv4yv5gycj3femb24kysgry5b44hhgfwc5ml5qrdad.onion
Ödeme/anahtar alımı Tor ağı üzerinden yapılmaktadır

Fidye Mesajı

"Your files have been encrypted."

"Content of your files have been modified. Without special key you can't undo that operation."

"We will give you special decryption program and instructions."

WMI ile Shadow Copy Silme

Standart vssadmin delete shadows komutu yerine WMI doğrudan kullanılmaktadır — bu yöntem bazı güvenlik araçları tarafından daha az tespit edilir:

select * from Win32_ShadowCopy
Win32_ShadowCopy.ID='%s'  → her kopyayı tek tek siler

ShadowProtectSvc — ShadowProtect yedekleme servisini durdurur
avshadow.exe — Webroot gölge kopya ajanını sonlandırır

Güvenlik Ürünü Kill Listesi

Şifrelemeden önce şu güvenlik süreçleri sonlandırılmaktadır:

Süreç	Ürün
wrsa.exe / wrsa*	Webroot SecureAnywhere Antivirus
avgrsa.exe	AVG/Webroot entegrasyon ajanı
aesecurityservice.exe	Webroot AES Security Service
avshadow.exe	Webroot Shadow Copy Agent
cmdagent.exe	COMODO Internet Security
winvnc4.exe / WinVNC4	UltraVNC uzak masaüstü
csinject.exe	CrowdStrike Injection Module
prgateway.exe	Parallels Remote Application Server
prftpengine.exe	Parallels FTP Engine
bdredline.exe	Bitdefender RedLine Component
isntsmtp.exe	Symantec SMTP Scanner
pxemtftp.exe	PXE TFTP Server (yedekleme altyapısı)
zoolz.exe / Zoolz 2 Service	Zoolz Cloud Backup
zonealarm.exe	ZoneAlarm Firewall
zlclient.exe	ZoneAlarm Client

PE Yapısı

Dosya Entropi: 2.67 (düşük — minimal obfüskasyon)
.shell bölümü (standart olmayan section adı)
TLS Directory mevcut (anti-debug potansiyeli)
Zero/invalid timestamp

Teknik Özellikler

Özellik	Değer
Uzantı	.B.crypted
C2	Tor onion (6x7dp6h3...)
VSS Silme	WMI Win32_ShadowCopy (vssadmin kullanmaz)
Güvenlik Kill	Webroot, COMODO, ZoneAlarm, Bitdefender, CrowdStrike
Mimari	PE32 x86

IOC Özeti

Tor C2: 6x7dp6h3w6q3ugjv4yv5gycj3femb24kysgry5b44hhgfwc5ml5qrdad.onion
Uzantı: .B.crypted
SHA256: 8fb025d59e501a545cae40ef222ca22b5722fdd487cdefb3f2e4b0a8635f9bc2

IOC List (2 indicators)

IOC — B.crypted Ransomware

# SHA256
8fb025d59e501a545cae40ef222ca22b5722fdd487cdefb3f2e4b0a8635f9bc2

# DOMAIN
6x7dp6h3w6q3ugjv4yv5gycj3femb24kysgry5b44hhgfwc5ml5qrdad.onion

Type	Value	Note
sha256	8fb025d59e501a545cae40ef222ca22b5722fdd487cdefb3f2e4b0a8635f9bc2
domain	6x7dp6h3w6q3ugjv4yv5gycj3femb24kysgry5b44hhgfwc5ml5qrdad.onion

C2 Servers (1 recorded servers for this family)

Address	Type	Port	Protocol	Status	Country
6x7dp6h3w6q3ugjv4yv5gycj3femb24kysgry5b44hhgfwc5ml5qrdad.onion	domain	443	custom	inactive	—

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.