TeslaCrypt Ransomware: .teslaX PE Section, CryptEncrypt, Tor Browser, RSA Ozel Anahtar, 58KB Kompakt

Genel Bakis

Bu ornek, 58KB'lik son derece kompakt bir TeslaCrypt fidye yazilimi ornegi. TeslaCrypt'in kirmizi bayrak seksiyonu olan .teslaX PE section'i ile tanimlanan bu ornek, CryptAcquireContextW ve CryptEncrypt API'leri ile dosya sifreleme, Tor browser referansi ile anonimlik, RSA ozel anahtari ile guvenli iletisim saglamaktadir.

TeslaCrypt Hakkinda

• 2015-2016 yillari arasinda aktif olan, oyun dosyalarini da hedefleyen ransomware
• 2016 yilinda masterkey kamuoyuyla paylasilarak etkisizlestirildi
• Bu ornek: daha eski veya özel bir variant

Teknik Analiz

TeslaCrypt Tespiti

• .teslaX section: self-modifying — TeslaCrypt'in imza bolumu
• Suspicious imagebase
• 6 section

Sifreleme API'leri

• CryptAcquireContextW — kripto baglami baslatma
• CryptEncrypt — dosya sifreleme
• CryptDestroyKey — anahtar imha
• CryptGenRandom — rastgele anahtar uretme
• CryptReleaseContext

Ayricalik Yukseltme

• OpenProcessToken, AdjustTokenPrivileges, DuplicateTokenEx, SetTokenInformation
• Yedek ve geri yukleme noktalarini silmek icin yukseltilmis ayricalik gerekiyor

Diger Gostergeler

• Tor browser — anonimlestirilmis C2 iletisimi
• ---Z PRIVATE KEY--- — RSA ozel anahtar deseni
• PathFindExtensionW — dosya uzantisi hedefleme
• -silent_path — gizli yoldan calisma parametresi

Teknik Ozellikler

IOC Ozeti

• Section: .teslaX (TeslaCrypt imza)
• SHA256: f4d742d82698f532e0215832cb484619a4e84547d8a1ca8dc8f2e9f791a6f27d