HexaLocker

HexaLocker Ransomware

HexaLocker-2 Ransomware

Prince Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES-GCM + ChaCha20, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: HexaLocker, написано в записке о выкупе. На файле написано: HexaLocker.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42018
BitDefender -> Trojan.Generic.37935679, Trojan.Generic.37936129
ESET-NOD32 -> A Variant Of WinGo/Filecoder.Prince.A
Kaspersky -> HEUR:Trojan-Ransom.Win64.Generic
Malwarebytes -> Ransom.HexaLocker
Microsoft -> Ransom:Win64/Prince.YAC!MTB
Rising -> Ransom.Prince!8.1CBA5 (CLOUD), Ransom.Prince!1.12CA4 (CLASSIC)
Tencent -> Win64.Trojan-Ransom.Generic.Bujl, Win64.Trojan-Ransom.Generic.Rsmw
TrendMicro -> Ransom_Prince.R023C0DDR25, Ransom_Prince.R002C0DDR25
---

© Генеалогия: Prince  >> HexaLocker

Предыдущий вариант Prince Ransomware известен с 2024 г. 

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в середине апреля 2025 г., но он был известен уже с января 2025. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .hexalocker

Записка с требованием выкупа называется: readme.txt

Содержание записки о выкупе:
Смотрите на скриншотах выше. 


✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
readme.txt - название файла с требованием выкупа;
HexaLocker.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

URL: hxxxs://hexalocker.xyz/

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 864fa3005ceccd9b24579902805c40fa 

SHA-1: 86a3aa9dcf8b0c84df0cd0757c00d6fb3a93c58c 

SHA-256: 7e78a696e26b016a31b5ecb3bee9c123e92a3f05ce74044bbc718a581b5deca8 

Vhash: 056086655d55551d15541az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 0835c8f608a2b9b42bf13fc2d4d53ffe 

SHA-1: 26608038eac9c600f8cdb05f7663127aafe047fc 

SHA-256: e508a3953481c63f041721513e9f09bb8c9818cb9b24dcdfe186bc36ca8f84e1 

Vhash: 056086655d55551d15541az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Prince Ransomware - июль-ноябрь 2014

HexaLocker Ransomware - январь 2025  или раньше

HexaLocker-2 Ransomware - апрель 2025 или раньше

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri, dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

HexaCrypt

HexaCrypt Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп 450$ в BTC, чтобы вернуть файлы. Оригинальное название: HexaCrypt. На файле написано: Encryptor.exe. Написан на языке программирования Python. 
---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> Python/Filecoder.ASO
Kaspersky -> ***
Microsoft -> ***
Rising -> ***

Symantec -> Trojan.Gen.MBT

Tencent -> Malware.Win32.Gencirc.146dc99a
TrendMicro -> ***
---

© Генеалогия: предыдущие Python-based >> HexaCrypt

Сайт "ID Ransomware" HexaCrypt пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале апреля 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .<random>

Пример такого расширения: .5s48uq85

Записка с требованием выкупа называется: 5s48uq85.READ_ME.txt

Содержание записки о выкупе:

All of your important files have been encrypted and stolen and only we can decrypt your files.

If you refuse to cooperate, your decryption software will be permanently deleted, and your stolen files will be published publicly.

Send 450$ worth of btc to this bitcoin wallet:

bc1qgngtzxgt3vcgx7andf12temn3vt4unf51mcqkj

contact us:

hexacryptsupport@proton.me

How Can You Trust Us?

If we do not provide the decryption tool after payment, no one will ever trust us again.

We rely on our reputation.

To prove we can decrypt your files, you can send us 1 encrypted file.

You have 72 hours to pay and contact us.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
5s48uq85.READ_ME.txt - название файла с требованием выкупа;

5s48uq85.key - специальный файл с ключом; 
Encryptor.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: hexacryptsupport@proton.me
BTC: bc1qgngtzxgt3vcgx7andf12temn3vt4unf51mcqkj

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 8b4093d5ef20a3d7af5373e26ee4476a 

SHA-1: ad5560464e835e1ca1d7315cb81dc474c21ebe1f 

SHA-256: 02d55ad4a7e9e85cdbcb5607f22c9efc7f8002d574865b5aa6e52ba125645292 

Vhash: 018076655d155d0555504013z3006dmz1cfz 

Imphash: 965e162fe6366ee377aa9bc80bdd5c65

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

RALord

RALord Ransomware

RA Lord Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует связаться с вымогателями через сайт в сети TOR, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: RALord, указано в записке. Написан на языке программирования Rust. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.41858
BitDefender -> Trojan.GenericKD.76134943
ESET-NOD32 -> A Variant Of Win64/Filecoder.UI
Kaspersky -> Trojan-Ransom.Win64.Agent.dyk
Malwarebytes -> Ransom.RALord
Microsoft -> Trojan:Win64/RALord.SACR!MTB
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Zmhl
TrendMicro -> Ransom.Win64.RALORD.THCBFBE
---

© Генеалогия: родство выясняется >> RALord

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце марта 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .RALord
 
Записка с требованием выкупа называется по шаблону: README-<random_string>.txt

Примеры: 

README-HB0bIFAoVfPN.txt

README-vuy2vCrkvO1y.txt

Содержание записки о выкупе:

--- RALord ransomware ---

-> Hello , without any problems , if you see this Readme its mean you under controll by RLord ransomware , the data has been stolen and everything done , but

-> you can recover the files by contact us and pay the ransom , the data taken from this device or network have crenditals and your systeminfo too , without talk about files

-> also , we will provide report with hack operation and how to fix errors and up your security

»> contact us here :

-> qtoxID: 0C8E5B45C57AE***

»> important notes :

-> please do not touch the files becouse we can't decrypt it if you touch it

-> please contact us today becouse the leak operation should start

-> in nigotable please make sure to accept our rules, its easy

>>> our websites :

-> mirror 1 : ralord3htj7v2dkavss2hjzviviwgsf4anfdnihn5qcjl6eb5if3cuqd.onion

-> mirror 2 : ralordqe33mpufkpsr6zkdatktlu3t2uei4ught3sitxgtzfmqmbsuyd.onion

-> mirror 3 : ralordt7gywtkkkkq2suldao6mpibsb7cpjvdfezpzwgltyj21aiuuid.onion

-> to enter this URLs you need to download tor : https://www.torproject.org/download/

--- RALord ransomware ---

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README-<random_string>.txt - название файла с требованием выкупа;
google.exe, updater.exe - названия вредоносных файлов. 

Скриншот из кода RALord Ransomware:

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Program Files\Google3968_50907878\bin\updater.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL:

hxxx://ralord3htj7v2dkavss2hjzviviwgsf4anfdnihn5qcjl6eb5if3cuqd.onion

hxxx://ralordqe33mpufkpsr6zkdatktlu3t2uei4ught3sitxgtzfmqmbsuyd.onion

hxxx://ralordt7gywtkkkkq2suldao6mpibsb7cpjvdfezpzwgltyj2laiuuid.onion

qTOX: 

8E9A6195A769FE7115F087C61D75CF32874C339B3AB0947D07480C9A8A12DA5009151BE6A51F

0C8E5B45C57AE244E9C904C5BC74F73306937469D9CEA22541CA69AC162B8D42A20F4C0382AC

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: be15f62d14d1cbe2aecce8396f4c6289 

SHA-1: e9cced71d31937d75edac3fceee1d21e46cd5351 

SHA-256: 456b9adaabae9f3dce2207aa71410987f0a571cd8c11f2e7b41468501a863606 

Vhash: 035056655d15555018z383z3@z 

Imphash: e2137755f1a3df73f14b0df970d5dc94

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 Gameel Ali, S!Ri, dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Nemesis-888

Nemesis-888 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью  алгоритма AES-256 (режим CBC), а затем требует написать на email вымогателей, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: в записке не указано. На файле написано: svchost.dll. В некоторых случаях файлы можно расшифровать. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.41867
BitDefender -> Gen:Variant.Lazy.610044
ESET-NOD32 -> A Variant Of Win64/Filecoder.UG
Kaspersky -> Trojan-Ransom.Win32.Agent.bcdg
Malwarebytes -> Trojan.Crypt.Generic
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan-Ransom.Agent.Jmnw
TrendMicro -> TROJ_GEN.R002H09CL25
---

© Генеалогия: родство выясняется >> Nemesis-888

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале-середине марта 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. На момент написания статьи ничего неизвестно о распространении. 

К зашифрованным файлам добавляется расширение: .888

Пример зашифрованного файла и текст в нем: 

 

Записка с требованием выкупа называется: !RESTORE_FILES!.txt

Содержание записки о выкупе:

+----------------------------------------------------------------------------+

|   !!!ALL YOUR FILES ARE ENCRYPTED, AS A RESULT OF A BREACH IN SECURITY!!!  |

+----------------------------------------------------------------------------+

No worries - you can get them back!

It's impossible to decrypt without contacting us.

+----------------------------------------------------------------------------+

|   !!!DON'T TRY TO CHANGE ENCRYPTED FILES!!!                             |

|   !!!DON'T RENAME ENCRYPTED FILES!!!                                         |

|   !!!DON'T USE ADDITIONAL RECOVERY SOFTWARE!!!                      |

|   !!!IT WILL MAKE THEM IMPOSSIBLE TO DECRYPT!!!                       |

+----------------------------------------------------------------------------+

How to return all your data back in safe:

1. Copy and sent us your KEY.

2. We can decrypt 2 small files, no databases (.jpg, .txt, .doc, ets.. (up to 3mb)) as your warranty.

3. After payment, you will receive a special software for decryption.

--------------------------------------------------------------------------------------------

KEY: P/f/VlNzAE255D0071***

--------------------------------------------------------------------------------------------

EMAILS:

nemesis@888recover.4wrd.cc

nemesissupport@firemail.cc

Zero cheats, all integrity.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускает, не шифрует файлы в следующих директориях: 

ProgramData

Microsoft

Program Files(x86)

Microsoft.

Roaming\\Microsoft

AppData\\Local\\Temp

\\Windows\\System32

Пропускает, не шифрует следующие файлы: 

svchost.exe, bootmgr, bootmgr.efi, bootmgr.efi.mui, bootmgr.exe, bootmgr.exe.mui, img___XXX.jpg, !RESTORE_FILES!.txt

Файлы, связанные с этим Ransomware:
!RESTORE_FILES!.txt - название файла с требованием выкупа;

svchost.pdb - название файла проекта вредоносного файла;

img___XXX.jpg - некий файл изображения; 
svchost.dll -> svchost.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: nemesis@888recover.4wrd.cc, nemesissupport@firemail.cc
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR 

MD5: 5315bdbf85ad2b3bb13ae8ee62489f7f 

SHA-1: 8b0e4650f1a7080b78066a61152e571ca8b6816b 

SHA-256: : dee0fde2d096c79e138890f958b9440e87cce38504b654a97de50bb7969a9c98 

Vhash: 026086666c056d15651550a8z9d7z7uz1 

Imphash: bc942efe47009b1887e57410405ef4d1

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, rivitna
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Frag

Frag Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.41836
BitDefender -> Gen:Variant.Ulise.539154
ESET-NOD32 -> A Variant Of Win64/Filecoder.QQ
Kaspersky -> Trojan-Ransom.Win64.Agent.dyh
Malwarebytes -> Ransom.Frag
Microsoft -> Program:Win32/Wacapew.C!ml
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.1459265c
TrendMicro -> TROJ_GEN.R002H09CK25
---

© Генеалогия: родство выясняется >> Frag 

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине марта 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .frag

Записка с требованием выкупа называется: _README_.txt

Содержание записки о выкупе:

Frag is here!

If you are a regular employee, manager or system administrator, do not delete/ignore this note or

try to hide the fact that your network has been compromised from your senior management. This

letter is the only way for you to contact us and resolve this incident safely and with minimal loss.

We discovered a number of vulnerabilities in your network that we were able to exploit to

download your data, encrypt the contents of your servers, and delete any backups we could reach.

To find out the full details, get emergency help and regain access to your systems,

All you need is:

1. Tor browser (here is a download link: https://www.torproject.org/download/

2. Use this link to enter the chat room -

xhvzsaxl3vbio6dg547envq5xgap3pwobtursdvwatdoxextv43kb7id.onion

3. Enter a code ( PBTWHBE2ZULGRBNJ2NKB30KC64L***** ) to sign in.

4. Now we can help you.

We recommend that you notify your upper management so that they can appoint a responsible

person to handle negotiations. Once we receive a chat message from you, this will mean that we

are authorised to pass on information regarding the incident, as well as disclose the details inside

the chat. From then on, we have 2 weeks to resolve this privately.

We look forward to receiving your messages.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_README_.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: xhvzsaxl3vbio6dg547envq5xgap3pwobtursdvwatdoxextv43kb7id.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 32d07d96b7bf9504a3127d0359cf1af1 

SHA-1: af18edd87d9159362b53349f85b858975919fc56 

SHA-256: 711d5c83655fbf1a139dcaf91db06d158e1958a1edb8e4885b526c137abf5a69 

Vhash: 034056555d15151az32hz2021z2fz 

Imphash: 1c253c2fdb6574e7828dffaa28b935b8

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 Hyuna Lee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.