Conti2 -- run-as-admin.exe UAC Bypass İsmi, supp24yy6a...onion Kurban Destek Tor Sayfası, __MUTEX_NAME__ Builder Şablon Artefakt, DisallowRun Güvenlik Aracı Engelleme | Kritik

Manuel Statik Analiz — Conti Ransomware | Tehdit: KRİTİK

Dosya Kimliği

SHA256	`b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Dosya Adı	run-as-admin.exe (UAC bypass sosyal mühendislik!)
Boyut	515.584 byte (503KB)
String Sayisi	2.078

run-as-admin.exe: UAC Bypass Sosyal Mühendislik Adı

run-as-admin.exe
-- "run-as-admin" = yönetici olarak çalıştır
-- Sosyal mühendislik: kullanıcı "bu program yönetici haklarına ihtiyaç duyuyor" sanıyor
-- UAC (Kullanıcı Hesabı Denetimi) istemi: kullanıcı kendisi onaylıyor!
-- Conti: şifreleme için yönetici haklarına ihtiyaç duyuyor → paylaşım şifreleme
-- "run-as-admin" ismi: IT yöneticileri bu isimdeki dosyaları güvenebilir

supp24yy6...onion: Conti Kurban Destek Tor Sayfası

C2 ONION: Conti fidye ödeme ve destek Tor v3 adresi!

http://supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion/
-- "supp" prefix = "support" (destek)
-- Tor v3 hidden service: 56 karakter onion adresi
-- Conti: kurban fidye müzakeresi için Tor üzerinde iletişim
-- Bu adres: fidye notu içinde kurbanla paylaşılıyor
-- "supp" adresi: ödeme talimatı ve şifre çözme anahtarı satın alma
-- Conti 2.0: 2020-2022 arası en aktif fidye yazılımı grubu
  - 400+ kurban, 180M$+ fidye geliri
  - TrickBot/BazarLoader ile dağıtılırdı

__MUTEX_NAME__: Builder Şablon Kalıntısı

__MUTEX_NAME__
-- Builder şablonunda mutex ismi yer tutucu (placeholder) kalmış!
-- Conti builder: her saldırı için farklı mutex oluşturmalı
-- Ama bu örnekte placeholder değiştirilmemiş → builder hatası
-- "__MUTEX_NAME__" = çift alt çizgi ile sarılmış şablon değişkeni
-- Forensik değeri: builder'ın şablon mekanizmasını ortaya koyuyor
-- Bu tür hatalar: aynı builder kullanan farklı saldırı gruplarını ilişkilendirir

DisallowRun: Güvenlik Aracı Çalışma Engelleme

SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun
-- "DisallowRun" = belirli programların çalışmasını engelle
-- Conti: bu registry değeriyle güvenlik araçlarını kara listeye alıyor
-- AV, task manager, regedit gibi araçlar çalıştırılamaz hale geliyor
-- Kaldırma/analiz sürecini zorlaştırıyor

IOC

SHA256	`b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Onion C2	`supp24yy6a66hwszu2piygicgwzdtbwftb76htfj7vnip3getgqnzxid.onion`

Conti — Malware Profile

Conti ransomware. run-as-admin.exe UAC bypass. supp onion victim support. __MUTEX_NAME__ template. DisallowRun security block. TrickBot/BazarLoader delivery.

Malware Type

Ransomware

Programming Language

C++

C2 Protocol

—

Target Systems

Windows/Linux

Technical Details

Conti ransomware operated by WIZARD SPIDER, active 2020-2022. One of the most prolific and destructive RaaS operations. Double extortion: file encryption + data leak site (Conti News). Encryption: ChaCha20 for files + RSA-4096 for key exchange. Highly configurable with full C source code (supports network drives, SMB shares). Conti Playbook leaked September 2021 revealing TTPs. Source code and internal chats leaked by Ukrainian researcher March 2022 after Conti publicly sided with Russia in Ukraine conflict. Attack on Costa Rica government (2022) caused national emergency declaration. Dissolved into multiple successor groups: Black Basta, BlackByte, Royal, Akira.

Attribution / Threat Actor

WIZARD SPIDER, multiple successor groups

Capabilities & Behavior

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

IOC List (1 indicators)

IOC — Conti

# SHA256
b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Type	Value	Note
sha256	b70e78971fc44f84515584b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Conti — Go to Full Profile →

C2 Servers (8 recorded servers for this family)

Address	Type	Port	Protocol	Status	Country
mojobiden.com	domain	80	HTTP	active	—
mojobiden.com	domain	80	HTTP	active	—
213.234.12.78	ip	8080	HTTP	inactive	UA
paymenthacks.com	domain	443	HTTPS	inactive	—
myosbja7hixkkjqihsjh6yvmqplz62gr3r4isctjjtu2vm5jg6hsv2ad.onion	domain	80	HTTPS	inactive	—
mblogci3rudehaagbryjznltdp33ojwzkq6hn2pckvjq33rycmzczpid.onion	domain	80	HTTPS	inactive	—
paymenthacks.com	domain	80	HTTP	inactive	—
85.62.61.3	ip	443	HTTPS	sinkholed	RU

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.