malvuln/ransomlordRansomLord ist ein Proof-of-Concept-Exploitation-Tool gegen Ransomware, das die Erstellung von PE-Dateien automatisiert, um Ransomware vor deren Verschlüsselung zu kompromittieren.
Proof-of-Concept-Tool, das die Erstellung von PE-Dateien automatisiert, um Ransomware vor der Verschlüsselung auszunutzen.
Aktualisierte Version NG: https://github.com/malvuln/RansomLord/releases/tag/v1.0
Sprache: C
SHA256: ACB0C4EEAB421761B6C6E70B0FA1D20CE08247525641A7CD03B33A6EE3D35D8A
De-Weaponize-Funktion – PoC-Video (NG v1.0) 2025:
https://www.youtube.com/watch?v=w5TKNvnE0_g
PoC-Video (alt, aber Gold, v2):
https://www.youtube.com/watch?v=_Ho0bpeJWqI
[NG-Version 1.0]
Erste offizielle NG-Version mit bedeutenden Aktualisierungen, Fehlerbehebungen und neuen Funktionen
Von RansomLordNG erzeugte PE-Dateien werden im x32- oder x64-Verzeichnis des Programms auf der Festplatte gespeichert.
Ziel ist es, Schwachstellen auszunutzen, die bestimmten Ransomware-Stämmen innewohnen, indem Exploits eingesetzt werden, um das Netzwerk zu verteidigen!
Die DLLs können außerdem zusätzlichen Schutz gegen generische Schadsoftware und Info-Stealer bieten.
RansomLord und seine exportierten DLLs sind NICHT bösartig – siehe das -s-Flag für Sicherheitsinformationen.
MD5 der Exploit-DLLs (x32/x64):
61126F5D55BA58398C317814389CF05C
3CB517B752D6668FDC06BE8F1664378A
[Malvuln-Verlauf]
Im Mai 2022 habe ich öffentlich eine neuartige Strategie vorgestellt, um Ransomware erfolgreich zu besiegen.
Genutzt wird eine bekannte Angreifertechnik (DLL-Hijacking), um Malware vor der Verschlüsselung zu beenden.
Die erste erfolgreich ausgenutzte Malware stammte von der Lockbit-Gruppe MVID-2022-0572.
Es folgten Conti, REvil, BlackBasta und CryptoLocker, was beweist, dass viele verwundbar sind.
[Die Überwundenen]
Die RansomLordNG-v1.0-DLLs fangen Ransomware von einundsechzig Bedrohungsgruppen ab und beenden sie.
Neu auf der Opferliste: VanHelsing, Pe32Ransom, Makop, Superblack, Mamona, Lynx und Fog.
Hinweis: Wenn Sie vorhaben, die Fog-Ransomware zu testen, müssen Sie viele Anti-Analyse- und
Debugging-Techniken der Malware umgehen. Andernfalls erscheint 'Sandbox detected! Exiting process...'
[De-Weaponize]
Die De-Weaponize-Funktion (experimentell/optional) versucht, eine Malware funktionsunfähig zu machen.
Diese experimentelle Option funktioniert möglicherweise bei Malware, die mit hoher Integrität (Administrator) ausgeführt wird.
Ziel ist es, das Risiko einer späteren Malware-Ausführung nach der Exploitation zu verringern – sei es durch
Unfall oder durch unsachgemäße Handhabung von Malware während DFIR- oder anderer Sicherheitsoperationen.
Diese Funktion ist experimentell und es gibt KEINE Garantie, dass sie funktioniert. Sie hat jedoch in einer
Testumgebung mit virtueller Maschine ihre Leistungsfähigkeit und eine hohe Erfolgsquote gezeigt.
Wenn De-Weaponize aktiviert ist, versucht eine Exploit-DLL die folgenden Aktionen:
De-Weaponize-Haftungsausschluss:
Durch die Aktivierung von De-Weaponize stimmen Sie zu und übernehmen die GESAMTE rechtliche Haftung, Schäden und damit verbundene Risiken.
Übernehmen Sie die volle Verantwortung und alle Konsequenzen und erkennen Sie an, dass die Funktion experimentell und ohne Garantien ist.
Darüber hinaus erklären Sie sich damit einverstanden, dass von RansomLordNG erzeugte DLLs abgefangene Malware auf die Festplatte
des betroffenen Rechners KOPIEREN dürfen, mit dem Ziel, die Malware durch Umbenennen der Dateierweiterung zu deaktivieren.
Sie akzeptieren außerdem, dass eine abgefangene Datei mit der Dateierweiterung .exe gelöscht werden kann.
Sie akzeptieren das Risiko und verstehen, dass Fehlalarme auftreten können, die möglicherweise eine legitime Softwaredatei
aufgrund eines Fehlers, eines möglichen Irrtums und/oder anderer unvorhergesehener Umstände umbenennen oder löschen.
Fahren Sie daher nur fort und verwenden Sie die De-Weaponize-Funktion, wenn Sie dieses Risiko akzeptieren.
[Verbessertes SHA256]
Die NG-v1.0-Version enthält außerdem eine zuverlässigere, stabilere SHA256-Hash-Erzeugung für die Ereignisprotokollierung.
In früheren Versionen wurde der Hash erzeugt, indem ein neuer Prozess im Speicher gestartet wurde, der das native Windows-Tool
certutil.exe verwendete, um den SHA256-Hash einer Malware zu berechnen. Dies funktionierte bestenfalls zeitweise.
Die Malware wird nun zuverlässiger in C-Code gehasht, unter Verwendung des öffentlichen Informationsstandards RFC4634.
[NG-Version]
Die Next-Gen-Version erstellt ein Speicherabbild des Prozesses der gezielten Malware, bevor diese beendet wird.
Die Prozessspeicher-Dump-Datei MalDump.dmp variiert in der Größe und kann über 50 MB groß sein.
RansomLord fängt nun Ransomware von einundsechzig verschiedenen Bedrohungsgruppen ab und beendet sie.
VanHelsing, Pe32Ransom, Makop, Superblack, Mamona, Lynx und Fog kommen zur ständig wachsenden Liste der Überwundenen hinzu.
[DLL-Exploit-Generierung]
Das -g-Flag listet die zu exploitierende Ransomware basierend auf der ausgewählten Ransomware-Gruppe auf.
Es gibt eine 32- oder 64-Bit-DLL aus, die passend zur ausgewählten Familie benannt ist.
[Strategie]
Die Logik der erstellten DLL-Exploit-Datei ist einfach: Wir prüfen, ob das aktuelle Verzeichnis
C:\Windows\System32 ist. Wenn nicht, holen wir uns unsere eigene Prozess-ID (PID) und beenden
uns selbst sowie die Malware vor der Verschlüsselung, da wir nun den Ablauf der Codeausführung kontrollieren.
[MalDump]
Das -d-Flag erstellt einen benutzerdefinierten Windows-Registrierungsschlüssel, den Exploit-DLLs prüfen,
um einen Prozessspeicher-Dump der Malware durchzuführen – je nachdem, ob enabled=1 oder disabled=0 ist.
Dies kann funktionieren, wenn Malware mit hoher Integrität (Administrator) ausgeführt wird.
Bei Erfolg werden die Prozessspeicher-Dumps unter C:\Users\Public\MalDump.dmp gespeichert.
Die Ausnutzung von Codeausführungs-Schwachstellen, um Klartext-Strings usw. aus dem Prozessspeicher auf die
Festplatte zu schreiben, kann nützlich sein, da wir so das Entpacken von PE-Dateien, Anti-Debugging-Techniken
oder das vollständige Ausführen der Malware vermeiden können.
[Ereignisprotokoll-IOC]
Das -e-Flag richtet eine benutzerdefinierte Windows-Ereignisquelle in der Windows-Registrierung ein.
Ereignisse werden in 'Windows Logs\Application' als 'RansomLord'-Ereignis-ID 1 geschrieben.
Malware-Name, SHA256-Hash und Prozesspfad sind in den allgemeinen Informationen enthalten.
Die zusätzliche Protokollierung umfasst nun auch den Namen der DLL, die die Malware abgefangen hat. Wenn
De-Weaponize und/oder MalDump aktiviert sind, werden diese außerdem in den allgemeinen Informationen protokolliert.
[Sigma-Regel-Erkennung]
Das -r-Flag speichert die erforderliche Sigma-Regel RansomLord_Sigma.txt auf der Festplatte.
Die Sigma-Regel wird zusammen mit dem -e-Flag verwendet, um Endpunkt-Erkennungsfunktionen zu aktivieren.
Nützlich für IOC und Warnungen bei potenzieller Malware-Aktivität. Sie kann auch dabei helfen, Fehlalarme
aufzuspüren, z. B. Programme, die von Endbenutzern ausgeführt und beendet werden, aber nicht bösartig sind.
[DLL-Zuordnung]
Das -m-Flag zeigt Ransomware-Gruppen, die benötigte DLL und die Architektur (x32 oder 64-Bit) an.
[Trophäenraum]
Das -t-Flag listet alte Ransomware-Advisories aus dem Jahr 2022 mit Malware-Schwachstellen-ID auf.
[Warnung]
Es besteht auch die Möglichkeit, dass ein verwundbares, aber legitimes Programm am Start gehindert wird,
wenn es vom selben Speicherort ausgeführt wird, an dem Exploit-DLLs vorhanden sind, und das Programm anfällig für Hijacking ist.
Daher ist die Überwachung auf von RansomLord erzeugte IOC-Warnungen in solchen Szenarien hilfreich.
RansomLord hat in einer VM-Testumgebung eine sehr hohe Erfolgsquote bewiesen.
Nicht verwundbare Varianten, Betriebssystemversion, Umgebung oder Speicherort usw. können den Erfolg jedoch zunichtemachen.
[Testumgebung]
Die primären Tests wurden in einer Windows-10-VM und auf einem Thin-Client mit eingebettetem Win-7-Betriebssystem durchgeführt.
[Über]
Das -a-Flag zeigt allgemeine Informationen, Kontakt und Haftungsausschluss.
Durch die Nutzung dieser Software und/oder ihrer DLL-Dateien akzeptieren Sie alle Risiken und den vollständigen Haftungsausschluss.
Von John Page (aka malvuln) Copyright (c) 2024 - [email protected]
[0] Lockbit [1] Yanluowang [2] Conti [3] REvil [4] BlackMatter [5] WannaCry [6] LokiLocker [7] Ryuk.A [8] Hive v5.1 [9] BlueSky [10] Haron [11] Thanos [12] AvosLocker [13] AtomSilo [14] Cryakl [15] Meow [16] BabukLocker [17] Darkside [18] CTBLocker [19] Cerber [20] Cryptowall [21] Alphaware [22] Clop [23] Play [24] Nokoyawa [25] BlackCat(ALPHV) [26] Royal [27] Chaos [28] Crytox [29] LockerGoga [30] Rook [31] HelloKitty [32] Curator [33] Wagner [34] BlackSnake [35] DarkBit [36] DoubleZero [37] HakBit [38] Jaff [39] Paradise [40] Vohuk [41] Medusa [42] Phobus [43] StopCrypt [44] RuRansom [45] RisePro [46] MoneyMessage [47] CryptoFortress [48] Onyx [49] GPCode [50] DarkRace [51] Snocry [52] Sage [53] HydraCrypt [54] VanHelsing [55] Pe32Ransom [56] Superblack [57] Mamona [58] Lynx [59] Makop [60] Fog
