malvuln/ransomlordRansomLordは、ランサムウェアの暗号化前にこれを無力化するために使用されるPEファイルの作成を自動化する、概念実証（PoC）のアンチランサムウェア・エクスプロイトツールです。
ランサムウェアの暗号化前を悪用するためのPEファイル作成を自動化するProof-of-conceptツール。
更新版NG: https://github.com/malvuln/RansomLord/releases/tag/v1.0
言語: C
SHA256: ACB0C4EEAB421761B6C6E70B0FA1D20CE08247525641A7CD03B33A6EE3D35D8A
Deweaponize機能のPoC動画 (NG v1.0) 2025:
https://www.youtube.com/watch?v=w5TKNvnE0_g
PoC動画 (古いが貴重なv2):
https://www.youtube.com/watch?v=_Ho0bpeJWqI
[NGバージョン 1.0]
大幅なアップデート、修正、新機能を備えた最初の公式NGバージョンリリース
RansomLordNGが生成したPEファイルは、プログラムが実行された場所のx32またはx64ディレクトリに保存されます。
目的は、エクスプロイトを展開してネットワークを防御するために、特定のランサムウェア株に内在する脆弱性を悪用することです！
これらのDLLは、汎用マルウェアや情報窃取型マルウェアに対する追加の防御も提供する可能性があります。
RansomLordおよびそのエクスポートDLLは悪意のあるものではありません。セキュリティ情報については-sフラグを参照してください。
Exploit x32/x64 DLLのMD5:
61126F5D55BA58398C317814389CF05C
3CB517B752D6668FDC06BE8F1664378A
[Malvulnの歴史]
2022年5月、私はランサムウェアを正常に撃退する新しい戦略を公開しました。
よく知られた攻撃者テクニック(DLLハイジャック)を使用して、暗号化前のマルウェアを終了させます。
最初に正常に悪用されたマルウェアはLockbitグループのMVID-2022-0572でした。
続いてConti、REvil、BlackBasta、CryptoLockerが続き、多くが脆弱であることが証明されました。
[撃破済みリスト]
RansomLordNG v1.0のDLLは、61の脅威グループからのランサムウェアを傍受して終了させます。
VanHelsing、Pe32Ransom、Makop、Superblack、Mamona、Lynx、Fogを被害者リストに追加。
注: Fogランサムウェアをテストする予定がある場合、多くのマルウェアのアンチ解析および
デバッグ防止テクニックを回避する必要があります。これに失敗すると'Sandbox detected! Exiting process...'となります。
[de-weaponize]
deweaponize機能(実験的/オプション)は、マルウェアを動作不能にしようと試みます。
この実験的オプションは、高整合性(管理者)で実行されたマルウェアに対して機能する可能性があります。
目的は、DFIRやその他のセキュリティ対応操作中に、悪用後の偶発的なマルウェア実行や、
不適切なマルウェア取り扱いによるリスクを軽減することです。
この機能は実験的であり、動作する保証はありません。ただし、仮想マシン環境でテストした場合、
その能力と高い成功率を示しています。
deweaponizeが有効な場合、エクスプロイトDLLは次のアクションを試みます:
deweaponize免責事項:
deweaponizeを有効にすることで、すべての法的責任、損害、および関連するリスクに同意し、受け入れるものとします。
すべての責任と結果を受け入れ、これが実験的であり保証がないことを認識するものとします。
さらに、影響を受けたマシン上で、RansomLordNGが生成したDLLが傍受したマルウェアをディスクにコピーすることに同意します。
これは、ファイル拡張子の名前変更によってマルウェアを無効化することを目的としています。
また、.exeファイル拡張子を含む傍受されたファイルが削除される可能性があることも受け入れます。
リスクを受け入れ、障害、可能性のあるエラー、その他の予期しない条件により、正当なソフトウェアファイルが
名前変更または削除される可能性がある誤検知が発生し得ることを理解するものとします。
したがって、このリスクを受け入れる場合にのみ、de-weaponize機能を続行して使用してください。
[SHA256の改善]
NG v1.0リリースには、イベントログ用のより信頼性が高く安定したSHA256ハッシュ生成も含まれています。
以前のバージョンでは、ハッシュ化はネイティブWindowsのcertutil.exeを使用してマルウェアのSHA256ハッシュを
計算しようとする新しいプロセスをメモリ内に作成することで行われていましたが、これはせいぜい断続的にしか機能しませんでした。
マルウェアは現在、公開情報標準RFC4634を使用して、Cコードでより確実にハッシュ化されます。
[NGバージョン]
次世代バージョンは、終了前に標的のマルウェアのプロセスメモリをダンプします。
プロセスメモリダンプファイルMalDump.dmpのサイズはさまざまで、50MB以上になる可能性があります。
RansomLordは現在、61の異なる脅威グループからのランサムウェアを傍受して終了させます。
増え続ける撃破済みリストにVanHelsing、Pe32Ransom、Makop、Superblack、Mamona、Lynx、Fogを追加。
[DLLエクスプロイト生成]
-gフラグは、選択したランサムウェアグループに基づいて悪用するランサムウェアを一覧表示します。
選択したファミリーに基づいて適切に名前が付けられた32ビットまたは64ビットのDLLを出力します。
[戦略]
作成されたDLLエクスプロイトファイルのロジックは単純です。現在のディレクトリが
C:\Windows\System32かどうかを確認します。そうでない場合、自身のプロセスID(PID)を取得し、
コード実行フローを制御しているため、自身と暗号化前のマルウェアを終了させます。
[MalDump]
-dフラグはカスタムWindowsレジストリキーを作成します。エクスプロイトDLLはこれを確認して、
enabled=1またはdisabled=0に基づいてマルウェアのプロセスメモリダンプを実行します。
これは、マルウェアが高整合性(管理者)で実行された場合に機能する可能性があります。
成功した場合、プロセスメモリダンプはC:\Users\Public\MalDump.dmpに保存されます。
コード実行の脆弱性を活用してプロセスメモリから平文文字列などをディスクにダンプすることは、
PEアンパッキングやアンチデバッグテクニックを回避したり、マルウェアを完全に実行することに依存したりしなくて済むため、
有用かもしれません。
[イベントログIOC]
-eフラグは、WindowsレジストリにカスタムWindowsイベントソースを設定します。
イベントは'Windows Logs\Application'に'RansomLord'イベントID 1として書き込まれます。
マルウェア名、SHA256ハッシュ、プロセスパスが一般情報に含まれます。
追加のログには、マルウェアを傍受したDLL名が含まれるようになりました。さらに、deweaponizeやMalDumpが
有効な場合、それらも一般情報に記録されます。
[Sigmaルール検出]
-rフラグは、必要なSigmaルールRansomLord_Sigma.txtをディスクに保存します。
このSigmaルールは、エンドポイント検出機能を有効にするために-eフラグと一緒に使用されます。
IOCおよび潜在的なマルウェア活動のアラートに役立ち、誤検知の追跡にも役立つ可能性があります。
例: エンドユーザーが実行したプログラムが終了されたが悪意のない場合など。
[DLLマップ]
-mフラグは、ランサムウェアグループ、必要なDLL、アーキテクチャ(x32または64ビット)を表示します。
[戦利品室]
-tフラグは、2022年の古いランサムウェア勧告をマルウェア脆弱性IDとともに一覧表示します。
[警告]
脆弱ではあるが正当なプログラムが起動を妨げられる可能性もあります。
エクスプロイトDLLが存在する同じ場所から実行され、プログラムがハイジャックに対して脆弱な場合です。
したがって、そのようなシナリオでは、RansomLordが生成したIOCアラートの監視が役立ちます。
RansomLordは仮想マシンテスト環境内で非常に高い成功率を証明しました。
ただし、脆弱でない亜種、OSバージョン、環境、場所などが成功を損なう可能性があります。
[テスト環境]
主なテストは、Windows 10仮想マシンとWin-7組み込みOSシンクライアントで行われました。
[概要]
-aフラグ: 一般情報、連絡先、免責事項
このソフトウェアまたはそのDLLファイルを使用することにより、すべてのリスクと完全な免責事項を受け入れるものとします。
John Page (別名 malvuln) Copyright (c) 2024 - [email protected]
[0] Lockbit [1] Yanluowang [2] Conti [3] REvil [4] BlackMatter [5] WannaCry [6] LokiLocker [7] Ryuk.A [8] Hive v5.1 [9] BlueSky [10] Haron [11] Thanos [12] AvosLocker [13] AtomSilo [14] Cryakl [15] Meow [16] BabukLocker [17] Darkside [18] CTBLocker [19] Cerber [20] Cryptowall [21] Alphaware [22] Clop [23] Play [24] Nokoyawa [25] BlackCat(ALPHV) [26] Royal [27] Chaos [28] Crytox [29] LockerGoga [30] Rook [31] HelloKitty [32] Curator [33] Wagner [34] BlackSnake [35] DarkBit [36] DoubleZero [37] HakBit [38] Jaff [39] Paradise [40] Vohuk [41] Medusa [42] Phobus [43] StopCrypt [44] RuRansom [45] RisePro [46] MoneyMessage [47] CryptoFortress [48] Onyx [49] GPCode [50] DarkRace [51] Snocry [52] Sage [53] HydraCrypt [54] VanHelsing [55] Pe32Ransom [56] Superblack [57] Mamona [58] Lynx [59] Makop [60] Fog
