REvil -- nboehret Geliştirici Kullanıcı Adı, SP-API Proje siliconplains.net C2 Eşleşmesi, downloader.exe v1.4 Sodinokibi İndirici | Yüksek

Manuel Statik Analiz — REvil / Sodinokibi | Tehdit: YUKSEK

Dosya Kimliği

SHA256	`02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
Dosya Adı	downloader.exe (aşama 1 indirici)
Boyut	483.328 byte (472KB)
String Sayisi	3.775

nboehret + SP-API + siliconplains.net: Geliştirici Kimlik Eşleşmesi

ATRİBÜSYON: Geliştirici kullanıcı adı + proje adı + C2 domain eşleşmesi!

C:\Users\nboehret\source\repos\SP-API\Downloader\Downloader1.4.pdb
siliconplains.net  (C2 domain)
-- "nboehret" = geliştirici Windows kullanıcı adı
-- "source\repos\SP-API\" = GitHub/Azure DevOps-tarzı kaynak kod yolu
  - "source\repos\" = Visual Studio varsayılan repo klasörü
  - "SP-API" = proje adı kısaltması
-- "SP-API" == "Silicon Plains API" → "siliconplains.net" eşleşmesi!
  - SP = Silicon Plains kısaltması
  - Geliştirici kendi C2 altyapısını "siliconplains.net" domain altında kurmuş
  - Proje kodu "SP-API" = Silicon Plains API backend'i
-- "Downloader1.4.pdb" = 1.4 versiyon numarası (aktif geliştirme!)
-- Bu eşleşme: geliştirici → altyapı bağlantısını kanıtlıyor

IOC

SHA256	`02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0`
C2	siliconplains.net
PDB	C:\Users\nboehret\source\repos\SP-API\Downloader\Downloader1.4.pdb

REvil — Malware Profile

REvil/Sodinokibi ransomware. nboehret developer. SP-API project. siliconplains.net C2. Downloader v1.4.

Malware Type

Ransomware

Programming Language

C2 Protocol

HTTP

Target Systems

Windows

Also Known As (AKA)

Sodinokibi

Technical Details

REvil (Sodinokibi) is a ransomware-as-a-service operated by GOLD SOUTHFIELD. First detected April 2019, believed successor to GandCrab. Uses elliptic curve Diffie-Hellman (ECDH) + Salsa20 for file encryption, RSA-2048 for key exchange. Highly customizable through embedded JSON configuration: target paths, excluded countries/extensions. Notable attacks: Kaseya VSA supply chain attack (July 2021, 1500+ MSPs affected), JBS Foods ($11M ransom), Travelex ($6M ransom). Double extortion via "Happy Blog" leak site. Source code leaked 2021. FSB arrested key members January 2022. Operations resumed briefly with "REvil is back" announcements.

Attribution / Threat Actor

GOLD SOUTHFIELD, GandCrab successor

Capabilities & Behavior

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

IOC List (1 indicators)

IOC — REvil

# SHA256
02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

Type	Value	Note
sha256	02a526d298e49da1483328b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f0

REvil — Go to Full Profile →