Interlock

InterLock Ransomware

Interlock Extortion Group 

(шифровальщик-вымогатель, группа вымогателей) (первоисточник)
Translation into English

Этот крипто-вымогатель атакует виртуальные машина (VM) и шифрует файл виртуального диска (VMDK) через гипервизоры VMWare ESXi с последующей сменой пароля root на хостах ESXi, а затем требует связаться с вымогателями через сайт в сети Tor, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: Interlock. Interlock нацелен на FreeBSD, поскольку эта операционная система широко используется на серверах и в критической инфраструктуре. Есть версии для Windows, Linux. 

---
Обнаружения варианта для FreeBSD:
DrWeb -> FreeBSD.Encoder.1
BitDefender -> Trojan.Linux.GenericKD.35092
ESET-NOD32 -> A Variant Of Linux/Filecoder.InterLock.A
Kaspersky -> UDS:Trojan-Ransom.Linux.Agent.a, EUR:Trojan-Ransom.Linux.Agent.int
Microsoft -> Ransom:Linux/Interlock.A
Rising -> Ransom.InterLock/Linux!8.1B722 (LESS:bWQ***)
Tencent -> Linux.Trojan-Ransom.Agent.Usmw
TrendMicro -> Ransom.Linux.INTERLOCK.THJBBBD 
---

Обнаружения варианта для Wndows:
DrWeb -> Trojan.Encoder.41165
BitDefender -> Trojan.Generic.36878051
ESET-NOD32 -> A Variant Of Win32/Kryptik.HXUY
Kaspersky -> Trojan-Ransom.Win32.Crypmod.ayca

Malwarebytes -> Trojan.Crypt
Microsoft -> Trojan:HTML/Redirector.PAN!MTB
Rising -> Trojan.Kryptik@AI.90 (RDML:zrS0Ao***)
Tencent -> Malware.Win32.Gencirc.10c05a87
TrendMicro -> Ransom.Win64.INTERLOCK.THJAEBD 

---

Обнаружения варианта для Linux:

DrWeb -> Linux.Encoder.522

BitDefender -> Trojan.Generic.36925680

ESET-NOD32 -> A Variant Of Linux/Filecoder.InterLock.A

Kaspersky -> HEUR:Trojan-Ransom.Linux.Agent.int

Microsoft -> Ransom:Linux/Interlock.A!MTB

Rising -> Ransom.InterLock/Linux!8.1B722 (CLOUD)

Tencent -> Linux.Trojan-Ransom.Agent.Ktgl

TrendMicro -> Ransom.FreeBSD.INTERLOCK.THJBBBD

© Генеалогия: родство выясняется >> Interlock

Сайт "ID Ransomware" идентифицирует Interlock c 3 октября 2024. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в конце сентября — начале октября 2024 г. и продолжилась в ноябре 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .interlock

Записки с требованием выкупа называются: 

!__README__!.txt

!__README__! 1.txt

Возможно, что есть записки и с другой цифрой. 

Содержание записки о выкупе:

INTERLOCK

CRITICAL SECURITY ALERT

To Whom It May Concern,

Your organization has experienced a serious security breach. Immediate action is required to mitigate further risks. Here are the details:

THE CURRENT SITUATION

- Your systems have been infiltrated by unauthorized entities.

- Key files have been encrypted and are now inaccessible to you.

- Sensitive data has been extracted and is in our possession.

WHAT YOU NEED TO DO NOW

1. Contact us via our secure, anonymous platform listed below.

2. Follow all instructions to recover your encrypted data.

Access Point: hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php

Use your unique Company ID: 

DO NOT ATTEMPT:

- File alterations: Renaming, moving, or tampering with files will lead to irreversible damage.

- Third-party software: Using any recovery tools will corrupt the encryption keys, making recovery impossible.

- Reboots or shutdowns: System restarts may cause key damage. Proceed at your own risk.

HOW DID THIS HAPPEN?

We identified vulnerabilities within your network and gained access to critical parts of your infrastructure. The following data categories have been extracted and are now at risk:

- Personal records and client information

- Financial statements, contracts, and legal documents

- Internal communications

- Backups and business-critical files

We hold full copies of these files, and their future is in your hands.

YOUR OPTIONS

#1. Ignore This Warning:

- In 96 hours, we will release or sell your sensitive data.

- Media outlets, regulators, and competitors will be notified.

- Your decryption keys will be destroyed, making recovery impossible.

- The financial and reputational damage could be catastrophic.

#2. Cooperate With Us:

- You will receive the only working decryption tool for your files.

- We will guarantee the secure deletion of all exfiltrated data.

- All traces of this incident will be erased from public and private records.

- A full security audit will be provided to prevent future breaches.

FINAL REMINDER

Failure to act promptly will result in:

- Permanent loss of all encrypted data.

- Leakage of confidential information to the public, competitors, and authorities.

- Irreversible financial harm to your organization.

CONTACT US SECURELY

1. Install the TOR browser via https://torproject.org

2. Visit our anonymous contact form at hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php

3. Use your unique Company ID: 

4. Review a sample of your compromised data for verification.

5. Use a VPN if TOR is restricted in your area.

Перевод записки на русский язык:

INTERLOCK

CRITICAL SECURITY ALERT

Тем, кого это касается,

Ваша организация столкнулась с серьезным нарушением безопасности. Для снижения дальнейших рисков требуются немедленные действия. Вот подробности:

ТЕКУЩАЯ СИТУАЦИЯ

- Ваши системы подверглись проникновению неавторизованных лиц.

- Ключевые файлы были зашифрованы и теперь недоступны для вас.

- Конфиденциальные данные были извлечены и находятся в нашем распоряжении.

ЧТО ВАМ НУЖНО СДЕЛАТЬ СЕЙЧАС

1. Свяжитесь с нами через нашу безопасную анонимную платформу, указанную ниже.

2. Следуйте всем инструкциям по восстановлению ваших зашифрованных данных.

Точка доступа: hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php

Используйте свой уникальный Company ID:

НЕ ПЫТАЙТЕСЬ:

- Изменять файлы: переименование, перемещение или изменение файлов приведет к необратимому ущербу.

- Сторонние программы: использование любых инструментов восстановления повредит ключи шифрования, сделав восстановление невозможным.

- Перезагрузки или выключения: перезапуск системы может привести к повреждению ключей. Действуйте на свой страх и риск.

КАК ЭТО ПРОИЗОШЛО?

Мы выявили уязвимости в вашей сети и получили доступ к критически важным частям вашей инфраструктуры. Следующие категории данных извлечены и теперь под угрозой:

- Личные записи и информация о клиентах

- Финансовые отчеты, контракты и юридические документы

- Внутренние коммуникации

- Резервные копии и критически важные для бизнеса файлы

У нас есть полные копии этих файлов, и их будущее в ваших руках.

ВАШИ ВАРИАНТЫ

#1. Игнорировать это предупреждение:

- Через 96 часов мы опубликуем или продадим ваши конфиденциальные данные.

- СМИ, регулирующие органы и конкуренты будут уведомлены.

- Ваши ключи дешифрования будут уничтожены, что сделает восстановление невозможным.

- Финансовый и репутационный ущерб может быть катастрофическим.

#2. Сотрудничать с нами:

- Вы получите единственный рабочий инструмент дешифрования для ваших файлов.

- Мы гарантируем безопасное удаление всех извлеченных данных.

- Все следы этого инцидента будут стерты из публичных и частных записей.

- Будет проведен полный аудит безопасности для предотвращения будущих нарушений.

ПОСЛЕДНЕЕ НАПОМИНАНИЕ

Неспособность действовать быстро приведет к:

- Безвозвратной потере всех зашифрованных данных.

- Утечке конфиденциальной информации общественности, конкурентам и властям.

- Необратимому финансовому ущербу для вашей организации.

СВЯЖИТЕСЬ С НАМИ БЕЗОПАСНО

1. Установите браузер TOR через https://torproject.org

2. Посетите нашу анонимную контактную форму по адресу hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php

3. Используйте свой уникальный Company ID:

4. Просмотрите образец ваших скомпрометированных данных для проверки.

5. Используйте VPN, если TOR ограничен в вашем регионе.

Скриншоты с сайта вымогателей:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Локальные резервные копии удаляются. 

Используется бэкдор "Supper" для проникновения. 

VT: e9ff4d40aeec2ff9d2886c7e7aea7634d8997a14ca3740645fd3101808cc187b

VT: 6933141fbdcdcaa9e92d6586dd549ac1cb21583ba9a27aa23cf133ecfdf36ddf

➤ Версия для Windows очищает журналы: Application, Security, Setup, System и Forwarded Events.

Список типов файлов, подвергающихся шифрованию в версии для Windows:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
!__README__!.txt, !__README__! 1.txt - названия файлов с требованием выкупа;
elf-файл - вредоносный файл. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php

Email: interlock@2mail.co
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG (для FreeBSD)

MD5: e11d147dad6e47a1cecb1f2755f95a55 

SHA-1: 5cc81e0df62e0d68710e14b31e2270f2ec7ed166 

SHA-256: e86bb8361c436be94b0901e5b39db9b6666134f23cce1e5581421c2981405cb1 

Vhash: 40e0b4dd0f2920f533f24e7082d9eabc

---

IOC: VT, IA, TG (для Windows)

MD5: f7f679420671b7e18677831d4d276277 

SHA-1: 1cb6a93e6d2d86d3479a1ea59f7d5b258f1c5c53 

SHA-256: a26f0a2da63a838161a7d335aaa5e4b314a232acc15dcabdb6f6dbec63cda642 

Vhash: 0160666d557d1d1551z6011ze00280e5zacz1dfz 

Imphash: b3b7ad6f2170dcc432067867d73f9aed

---

IOC: VT, IA, TG (для Linux)

MD5: f76d907ca3817a8b2967790315265469 

SHA-1: 8a38825ee33980a27ab6970e090a30a46226f752 

SHA-256: 28c3c50d115d2b8ffc7ba0a8de9572fbe307907aaae3a486aabd8c0266e9426f 

Vhash: 40e0b4dd0f2920f533f24e7082d9eabc

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Компания Trend Micro предоставила следующие хэши SHA1 для помощи в идентификации активности Interlock:

SHA1 - Detection:  

8a38825ee33980a27ab6970e090a30a46226f752 - Ransom.Linux.INTERLOCK.THJBBBD 

5cc81e0df62e0d68710e14b31e2270f2ec7ed166 - Ransom.Linux.INTERLOCK.THJBBBD 

1cb6a93e6d2d86d3479a1ea59f7d5b258f1c5c53 - Ransom.Win64.INTERLOCK.THJAEBD

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 Added later: Write-up (by BC)

 Thanks: 
 BleepingComputer, MalwareHunterTeam
 Andrew Ivanov (article author)
 Trend Micro Research
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Trinity Locker

Trinity Locker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями, чтобы узнать как заплатить выкуп, получить дешифровщик и вернуть файлы. Оригинальное название: Trinity Locker, указано в записке. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Gen:Variant.Doina.69600
ESET-NOD32 -> A Variant Of Win32/Filecoder.DeathRansom.E
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Trinity
Microsoft -> Ransom:Win32/Conti.IPA!MTB
Rising -> Malware.Undefined!8.C (TFE:5:d7Jqm9BdiXT)
Tencent -> Malware.Win32.Gencirc.10c03784
TrendMicro -> Ransom_Conti.R002C0DIH24
---

© Генеалогия: родство выясняется >> Trinity Locker

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале сентября 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .trinitylock

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

TRINITY LOCKER

We downloaded to our servers and encrypted all your databases and personal information!

to contact us

follow this link hxxx://trinitylock.io

follow the instructions on the website

or

download TOR

https://www.torproject.org/download/

follow this link hxxx://txtggyng5euqkyzl2knbejwpm4rlq575jn2egqldu27osbqytrj6ruyd.onion

follow the instructions on the website

if you're having trouble with TOR

e-mail helpdesk101@onionmail.com

IMPORTANT INFORMATION!

If you do not write to us within 24 hours, we will start publishing and selling your data on the darknet on hacker sites http://trinitylock.io/articles and offer the information to your competitors

Guarantee:If we don't provide you with a decryptor or delete your data after you pay,no one will pay us in the future. We value our reputation.

Guarantee key:To prove that the decryption key exists, we can test the file (not the database and backup) for free.

Do not try to decrypt your data using third party software, it may cause permanent data loss.

Don't go to recovery companies - they are essentially just middlemen.Decryption of your files with the help of third parties may cause increased price (they add their fee to our) we're the only ones who have the decryption keys.

Перевод записки на русский язык:

TRINITY LOCKER

Мы загрузили на наши серверы и зашифровали все ваши базы данных и личную информацию!

чтобы связаться с нами перейдите по этой ссылке hxxx://trinitylock.io

следуйте инструкциям на сайте

или загрузите TOR

https://www.torproject.org/download/

перейдите по этой ссылке hxxx://txtggyng5euqkyzl2knbejwpm4rlq575jn2egqldu27osbqytrj6ruyd.onion

следуйте инструкциям на сайте

если у вас возникли проблемы с TOR

напишите на helpdesk101@onionmail.com

ВАЖНАЯ ИНФОРМАЦИЯ!

Если вы не напишете нам в течение 24 часов, мы опубликуем и продадим ваши данные в даркнете на хакерских сайтах http://trinitylock.io/articles и предложим информацию вашим конкурентам

Гарантия: Если мы не предоставим вам дешифратор или не удалим ваши данные после оплаты, нам никто не заплатит в будущем. Мы дорожим своей репутацией.

Гарантия ключа: Чтобы доказать, что ключ дешифрования существует, мы можем бесплатно протестировать файл (не базу данных и резервную копию).

Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к безвозвратной потере данных.

Не обращайтесь в компании по восстановлению данных — по сути, они просто посредники. Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют свою комиссию к нашей), мы единственные, у кого есть ключи дешифрования.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: hxxx://trinitylock.io

Tor-URL: hxxx://txtggyng5euqkyzl2knbejwpm4rlq575jn2egqldu27osbqytrj6ruyd.onion

Email: helpdesk101@onionmail.com
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Скриншоты с сайтов утечек:

Результаты анализов: 

IOC: VT, IA, TG, AR

MD5: 503c5ecd8f6c6238cd527f1d5db74ef7 

SHA-1: c6933bdd77e75018faa67aa691f08d228cfbe375 

SHA-256: 4cf1f88bf0d62936170599c4de4d6d0d72c0595ff9a109bee2d285d0e8b8416b 

Vhash: 055056655d1555612021z20e008c1z2021z2045z401001f5zf7z 

Imphash: e162d21b33035356f1d16365ff6bb80e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Details + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 rivitna, quietman7
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Dithyramb

Dithyramb Ransomware

Dithyramb Eduware-Ransomware

(шифровальщик-НЕ-вымогатель, тест-шифровальщик, обучатель) (первоисточник на русском)
Translation into English

Этот шифровальщик шифрует данные с помощью XOR 0xAA, а затем оставляет картинку с контактом на github.com. Оригинальное название: Dithyramb. Написан на языке C++. На файле написано: Dithyramb.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.40919, Trojan.Encoder.41022
BitDefender -> Trojan.GenericKD.73883182, Trojan.GenericKD.74112565
ESET-NOD32 -> A Variant Of Win32/Filecoder.ORJ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen
Malwarebytes -> Ransom.FileCryptor, Ransom.Dithyramb
Microsoft -> Ransom:Win32/Dirthy.YAB!MTB
Rising -> Ransom.Encoder!8.FFD4, Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.10c03643, Malware.Win32.Gencirc.10c04437
TrendMicro -> Ransom_Dirthy.R06BC0DIJ24, Ransom_Dirthy.R053C0DIJ24
---

© Генеалогия: родство выясняется >> Dithyramb 

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был обнаружен в первой половине сентября 2024 г. Разработан Bento для анализа и обучения. Опубликован 20 августа 2024. 

К зашифрованным файлам добавляется расширение: *нет данных*.

Записка с требованием выкупа называется: *нет данных*.

Содержание записки о выкупе: *нет данных*.

Онлайн загружается следующая картинка. 

Адрес на картинке: hxxxs://github.com/brentlyw/

Вероятно, для связи с разработчиком, если вдруг файлы зашифровались. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
background.png - изображение, заменяющее обои Рабочего стола; 

Untitled.png -  - изображение, загружаемое онлайн; 

Dithyramb.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Temp\background.png

C:\Users\User\Desktop\Dithyramb.exe

Записи реестра, связанные с этим Ransomware:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\Dithyramb.exe

См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: hxxxs://github.com/Brentlyw/Dithyramb/

URL картинки: hxxxs://i.ibb.co/LPx4Wxt/Untitled.png

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG, AR

MD5: be218fb27c5c0611e1c87d065c8d3efd 

SHA-1: 95df86a58ca5efdd004b7215200e9f38eaf60442  

SHA-256: 20d41bf0390ce8a97ac766cc11efafc7d500d06eac463a344cfa8357f439db7c  

Vhash: 025056655d1d056az547z17z1lz 

Imphash: efefe29abfceb37a526a344d3729b912

---

IOC: VT, IA, TG, AR

MD5: 3a6bd191fbfb09fa1cde900dd2582cd7 

SHA-1: 5d741d7fba5ec55e9772c60e20d24e1b190b6b62 

SHA-256: 4819505b3e74d9814a049fe9bbb13460d4abf5ddbb19d453fbd512c6041fcaf1 

Vhash: 025046655d156az517z17z11z101fz 

Imphash: caf2c5017bf22286c9026b6c44330cd0

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

S3P4ND, Sepand

S3P4ND Ransomware

Sepand Ransomware

3pand Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп $150 в LTC, BTC, ETH, чтобы вернуть файлы. Оригинальное название: S3P4ND, Sepand. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.40960
BitDefender -> Generic.Ransom.Snatch.D535AF0E
ESET-NOD32 -> A Variant Of WinGo/Filecoder.HQ
Kaspersky -> Trojan-Ransom.Win32.Gen.baip
Malwarebytes -> Ransom.S3P4ND
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> ***
Tencent -> Win32.Trojan-Ransom.Gen.Qgil
TrendMicro -> TROJ_GEN.R002H09HM24
---

© Генеалогия: родство выясняется >>

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .3pand


Записка с требованием выкупа называется: Readme%d.txt

Записка с требованием выкупа написана на изображениях вымогателей.   

Содержание записки о выкупе:

Hello! I am Sepand, the creator of 3pand ransomware

Your system files are encrypted by us and you need to pay $150 to get the decrypted file

Otherwise, your files will be lost in the next 48 hours!

After paying, send your receipt and identification code to me in Telegram so that I can send you the decryption file!

[+] Ltc: ltc1qvhsqhfmvf0a40gw0j7kcm98kslq9dsr3aggzzs

[+] Btc: bc1qecjc0cf8vqhh4e2vt7twjpwc3zfn0348wghvng

[+] Eth: 0x02fa67fF0e3f1F4E178d9C675dE198298E90A4c8

Your identification code:%s Goodbye!

Перевод записки на русский язык:

Привет! Я Sepand, создатель 3pand ransomware

Ваши системные файлы зашифрованы нами, и вам нужно заплатить $150, чтобы получить расшифрованный файл

Иначе ваши файлы будут потеряны в течение следующих 48 часов!

После оплаты отправьте мне в Telegram чек и идентификационный код, чтобы я мог отправить вам файл расшифровки!

***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Readme%d.txt - название файла с требованием выкупа;

dMLeE9s.md.jpg - картинка от вымогателей; 
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Онлайн-изображение: hxxxs://iili.io/dMLeE9s.md.jpg

Email: - 

Telegram: @S3P4ND

LTC: ltc1qvhsqhfmvf0a40gw0j7kcm98kslq9dsr3aggzzs

BTC: bc1qecjc0cf8vqhh4e2vt7twjpwc3zfn0348wghvng

ETH: 0x02fa67fF0e3f1F4E178d9C675dE198298E90A4c8

 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG

MD5: d3be0632c8753383b9946f82681f96ab 

SHA-1: 21770bdd77adff4062f92b883b349b579880dac7 

SHA-256: 6479d7ae4a73d87e6cc2e2ec576f6252580e180429fb641c874e4fbe969e04d5 

Vhash: 0860d6655d55557575157az27!z 

Imphash: 9cbefe68f395e67356e2a5d8d1b285c0

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.