HiddenTear -- endyou.xn--6frz82g Japonca Punycode C2, FlatChestWare Kullanıcı Loli PDB, encryptAES SendPassword | Yüksek

文件 Kimliği

endyou.xn--6frz82g: Japonca Punycode C2!

http://www.endyou.xn--6frz82g/listen/listen.php
-- "xn--6frz82g" = Punycode kodlu Japonca TLD
-- xn--6frz82g = 旅 (Japonca: "yolculuk/seyahat")
-- "endyou" = "seni bitir" (İngilizce: end + you)
-- "endyou.[旅]" = Japonca TLD'li İngilizce isim
-- "/listen/listen.php" = C2 endpoint (dinle)
-- Punycode gizleme: ASCII görünümlü ama gerçek karakter farklı

Geliştirici PDB: "Loli" Kullanıcısı

C:\Users\Loli\Documents\Visual Studio 2015\Projects\FlatChestWare\obj\Release
-- Kullanıcı adı: "Loli"
-- VS 2015 ile geliştirilmiş
-- Proje adı: "FlatChestWare" (FlatWare.exe olarak dağıtılmış)
-- HiddenTear: GitHub'da yayınlanan açık kaynak ransomware (2015)
-- "FlatChestWare" = HiddenTear türevi, kendi versiyonu

AES Şifreleme Zinciri

encryptAES           -- AES ile dosya şifrele
bytesToBeEncrypted   -- şifrelenecek byte dizisi
SendPassword         -- şifreleme şifresini C2'ye gönder!
CreatePassword       -- şifreleme şifresi üret
-- Süreç: CreatePassword → şifre oluştur → AES ile şifrele → SendPassword → C2'ye gönder
-- Kurban dosyaları şifrelendikten sonra şifre C2'de
-- HiddenTear'ın zayıflığı: eski versiyonlarda şifre sabit/tahmin edilebilir

IOC