REvil İlk Erişim İndiricisi -- nboehret SP-API Downloader 1.4 PDB, siliconplains.net C2, WinForms SFX Taslak | Yüksek

Manuel Statik Analiz — REvil İlk Erişim İndiricisi | Tehdit: YUKSEK

Dosya Kimliği

SHA256	`02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Dosya Adı	downloader.exe (REvil ilk erişim indiricisi)
Boyut	483.328 byte (472KB)
String Sayisi	3.775

Geliştirici: nboehret (SP-API Downloader 1.4)

GELİŞTİRİCİ İZİ: Versiyonlu özel downloader!

C:\Users\nboehret\source\repos\SP-API\Downloader\Downloader1.4.pdb
-- Kullanıcı adı: "nboehret" (Alman/İsviçre kökenli isim görünümü)
-- "SP-API" = Silicon Plains API'si! (siliconplains.net ile örtüşüyor)
-- "Downloader1.4" = versiyonlu özel downloader: aktif geliştirme
-- "\source\repos\" = Visual Studio standart repo yapısı
-- Profesyonel geliştirme ortamı: versiyonlama + kaynak yönetimi

C2: siliconplains.net

C2 TESPİT:

siliconplains.net
-- "Silicon Plains" = PDB'deki "SP-API" ile eşleşiyor!
-- Geliştirici kendi C2 altyapısına domain almış
-- "Silicon Plains" = "Silicon Valley" + "Plains" (batı ABD coğrafyası)
-- .net TLD = network hizmeti gibi görünmek için

WinForms SFX Taslak

CommandLineSelfExtractorStub.cs   -- komut satırı SFX taslak kaynak
WinFormsSelfExtractorStub.cs      -- GUI SFX taslak kaynak
-- Downloader aynı zamanda kendi kendini açabilen arşiv işlevi görüyor
-- Hedef makineye REvil payload'ını extract edip çalıştırır

IOC

SHA256	`02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
C2	siliconplains.net
Geliştirici	nboehret (SP-API Downloader 1.4)

REvil — Malware Profile

REvil/Sodinokibi ransomware. nboehret developer. SP-API project. siliconplains.net C2. Downloader v1.4.

Malware Type

Ransomware

Programming Language

C2 Protocol

HTTP

Target Systems

Windows

Also Known As (AKA)

Sodinokibi

Technical Details

REvil (Sodinokibi) is a ransomware-as-a-service operated by GOLD SOUTHFIELD. First detected April 2019, believed successor to GandCrab. Uses elliptic curve Diffie-Hellman (ECDH) + Salsa20 for file encryption, RSA-2048 for key exchange. Highly customizable through embedded JSON configuration: target paths, excluded countries/extensions. Notable attacks: Kaseya VSA supply chain attack (July 2021, 1500+ MSPs affected), JBS Foods ($11M ransom), Travelex ($6M ransom). Double extortion via "Happy Blog" leak site. Source code leaked 2021. FSB arrested key members January 2022. Operations resumed briefly with "REvil is back" announcements.

Attribution / Threat Actor

GOLD SOUTHFIELD, GandCrab successor

Capabilities & Behavior

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

IOC List (1 indicators)

IOC — REvil

# SHA256
02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Type	Value	Note
sha256	02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

REvil — Go to Full Profile →