Если вы не видите здесь изображений, то используйте VPN.

среда, 25 июня 2025 г.

Sinobi

Sinobi Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Sinobi Ransomware logo

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями через чат на сайте в сети Tor, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: Sinobi. Распространение: Sinobi Group.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42370
BitDefender -> Gen:Variant.Mikey.178866
ESET-NOD32 -> A Variant Of Win64/Filecoder.XI
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Lynx
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.IncRansom!1.12794 (CLASSIC)
Tencent -> Win32.Trojan-Ransom.Generic.Uimw
TrendMicro -> Trojan.Win32.VSX.PE04C9f
---

© Генеалогия: Lynx >> 
Sinobi


Сайт "ID Ransomware" это пока не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .SINOBI


Записка с требованием выкупа называется: README.txt

Sinobi Ransomware note, записка о выкупе

Sinobi Ransomware note, записка о выкупе


Содержание записки о выкупе:
Good afternoon, we are Sinobi Group.
As you can see you have been attacked by us! We offer you to make a deal with us. all you need to do is contact us by following the instructions below. 
We are not politically motivated group, we are interested only in money, we always keep our word. You have a possibility to decrypt your files and save your reputation in case we find good solution! 
You have to know we do not like procrastination. You have 7 days to come to the chat room and start negotiations.
- 1 Communication Process:
In order to contact with us you need to download Tor Browser.
You can download Tor Browser from this link:
https://www.torproject.org/download/
After you joined to chat room you have the opportunity to request several things from us for free:
1. make a test decrypt.
2. get a list of the files stolen from you.
At the end, we should agree on the price for our services. Keep in mind that we got your income/insurance documents.
- 2 Access to the chat room: 
To access us please use one of the following links:
        1. hxxx://sinobi7yuoppj76qnkwiobwfc2qve2xkv2ckvzyyjblwd7ucpptl62ad.onion/login
        ***
If Tor is blocked in your country you can use this link: http://chat.sinobi.us.org/login
Your unique ID: 68676f1e88b682********** - use it to register in the chat room.  
- 3 Blog:
To access us please use one of the following links:
1: hxxx://sinobi6ftrg27d6g4sjdt65malds6cfptlnjyw52rskakqjda6uvb7yd.onion/leaks
        ***
If Tor is blocked in your country you can use this link: http://blog.sinobi.us.org/leaks
- 4 Recommendations:
Do not try to recover your files with third-party programs, you will only do harm.
Do not turn off / reboot your computer.
Do not procrastinate.


Другим информатором жертвы является изображение с тем же текстом, заменяющее обои Рабочего стола. 

Sinobi Ransomware wallp-note




Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Blog: hxxx://blog.sinobi.us.org/

Sinobi Ransomware leaks-site

Tor-URL: 
hxxx://sinobi7yuoppj76qnkwiobwfc2qve2xkv2ckvzyyjblwd7ucpptl62ad.onion/login
hxxx://sinobi57mfegeov2naiufkidlkpze263jtbldokimfjqmk2mye6s4yqd.onion/login
hxxx://sinobibdvzohujkliofkxiz3ueyedfh6bed2lzjz2z6pafw5jeoptsid.onion/login
hxxx://sinobibjqytwqxjw24zuerqcjyd3hoow6zia7z6kzvwawivamu7nqayd.onion/login
hxxx://sinobicrh73ongfuxjajmlyyhalvkhlcgttxkxaxz3gvsgdcgf76uiqd.onion/login
hxxx://sinobidxodgt4jsr3tlmf2rr4okjvvwfp5gh3lrqxnowomcx62ssrhqd.onion/login
hxxx://sinobiea4snfqtkc43paumapo4oi7vxcy5vjzfoalunsnvzehozfhpyd.onion/login
hxxx://chat.sinobi.us.org/login
hxxx://sinobi6ftrg27d6g4sjdt65malds6cfptlnjyw52rskakqjda6uvb7yd.onion/leaks
hxxx://sinobi6rlec6f2bgn6rd72xo7hvds4a5ajiu2if4oub2sut7fg3gomqd.onion/leaks
hxxx://sinobi6ywgmmvg2gj2yygkb2hxbimaxpqkyk27wti5zjwhfcldhackid.onion/leaks
hxxx://sinobi7l3wet3uqn4cagjiessuomv75aw3bvgah4jpj43od7xndb7kad.onion/leaks
hxxx://sinobi7sukclb3ygtorysbtrodgdbnrmgbhov45rwzipubbzhiu5jvqd.onion/leaks
hxxx://sinobi23i75c3znmqqxxyuzqvhxnjsar7actgvc4nqeuhgcn5yvz3zqd.onion/leaks
hxxx://sinobia6mw6ht2wcdjphessyzpy7ph2y4dyqbd74bgobgju4ybytmkqd.onion/leaks
hxxx://blog.sinobi.us.org/leaks


Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, HA, IA, TG, AR
MD5: 08759d9ea2712d693891c870bbebbde3 
SHA-1: 00454046c6be47839226fc55da5bc492e5d4f99c 
SHA-256: d4919a7402d7ae02516589fbdfb3cc436749544052843a37b5d36ac4b7385b18 
Vhash: 025066655d1555155143z10c007iz23z6fz 
Imphash: 8b1b74c5acaa3433cd0a3f4678ea1fca


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Lynx Ransomware - июль 2024
Sinobi Ransomware - июнь-июль 2025


=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***

Thanks: Hyuna Lee Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

KaWaLocker

KaWaLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


KaWaLocker Ransomware

Этот крипто-вымогатель шифрует локальные сетевые данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать в чат вымогателям, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: KaWaLocker, указано в записке. На файле написано: C3CE46D40.exe. Распространитель: Ransomware Group KaWa4096
---
Обнаружения:
DrWeb -> Trojan.Encoder.42502
BitDefender -> Generic.Ransom.GarrantDecrypt.B.96D162F6
ESET-NOD32 -> A Variant Of Win64/Filecoder.ZC
Kaspersky -> Trojan-Ransom.Win32.Encoder.adxd
Malwarebytes -> Neshta.Virus.FileInfector.DDS
Microsoft -> Ransom:Win32/Babuk.SIB!MTB
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.14944e8f
TrendMicro -> Ransom.Win64.KAWA.A
---

© Генеалогия: родство выясняется >> 
KaWaLocker


Сайт "ID Ransomware" KaWaLocker пока не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших компании в США, Германии, Японии. 

К зашифрованным файлам добавляется расширение: .C3680868C

Записка с требованием выкупа называется: !!Restore-My-file-Kavva.txt

KaWaLocker Ransomware note, записка о выкупе

KaWaLocker Ransomware note


Содержание записки о выкупе:
-- KaWaLocker 
   >  Your network/system was encrypted. 
   >  Encrypted files have new extension. 
   >  We have downloaded compromising and sensitive data from your system/network.
   >  Our group cooperates with the mass media.
   >  If you refuse to communicate with us and we do not come to an agreement, 
   >  your data will be reviewed and published on our blog and othter darkweb markets.
   >  Install tor browser,visit KaWa Blog > hxxx://kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd.onion
Data includes: 
   >  Employees personal data, corp partner, Income, customer information, Human resourse, CVs, DL , SSN,
   >  Complete network map including credentials for local and remote services. 
   >  Financial information including clients data, bills, budgets, annual reports, bank statements. 
   >  Complete datagrams/schemas/drawings for manufacturing in solidworks format 
   >  And more... 
Warning:
   >  1) If you modify files - our decrypt software won't able to recover data 
   >  2) If you use third party software - you can damage/modify files (see item 1) 
   >  3) You need cipher key / our decrypt software to restore you files. 
   >  4) The police or authorities will not be able to help you get the cipher key. We encourage you to consider your decisions. 
Recovery:
   >  Download tox chat: https://tox.chat
   >  Go to add as friend ID> 6A340207246B47E37F6D094D2236E5C6242B6E4461EEF80***


Перевод записки на русский язык:
-- KaWaLocker
> Ваша сеть/система была зашифрована.
> Зашифрованные файлы имеют новое расширение.
> Мы загрузили компрометирующие и конфиденциальные данные из вашей системы/сети.
> Наша группа сотрудничает с СМИ.
> Если вы откажетесь общаться с нами и мы не придем к соглашению,
> ваши данные будут раскрыты и опубликованы в нашем блоге и других рынках даркнета.
> Установите браузер Tor, посетите блог KaWa > hxxx://kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd.onion
Данные включают:
> Персональные данные сотрудников, корпоративных партнеров, доход, информацию о клиентах, человеческие ресурсы, резюме, DL, SSN,
> Полная карта сети, включая учетные данные для локальных и удаленных служб.
> Финансовая информация, включая данные клиентов, счета, бюджеты, годовые отчеты, банковские выписки.
> Полные датаграммы/схемы/чертежи для производства в формате SolidWorks
> И многое другое...
***


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Удаляет теневые копии файлов, очищает журналы Windows. 
Меняет иконку зашифрованных файлов на собственную. 




Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускает, не шифрует файлы с расширениями: 
.ani, .bat, .cab, .cmd, .cpl, .cur, .dia2gcab, .diagpkg, .dll, .drv, .exe, .hlp, .icl, .icns, .ico, .ics, .idx, .iso, .key, .ldf, .lnk, .mod, .mpa, .msc, .msi, .msp, .msstyles, .msu, .mui, .nomedia, .ocx, .prf, .rom, .rtp, .scr, .shs, .spl, .sys, .theme, .themepack, .ttf  

Пропускает, не шифрует следующие файлы: 
boot.ini
desktop.ini
ntuser.dat
ntuser.ini
bootmgr
thumbs.db
autorun.inf

Пропускает, не шифрует следующие папки: 
$Recycle.bin
All Users, PerfLogs
Program Files (x86), Program Files, ProgramData
Windows.old, Windows
System Volume Information
Boot, Bootmgr
cpqsystem, font, azagent, Packages, kworking

Завершает следующие процессы: 
agntsvc.exe, avagent.exe, avscc.exe, bedbh.exe, benetns.exe, bengien.exe, beserver.exe, CagService.exe, cvd.exe, cvfwd.exe, CVMountd.exe, CVODS.exe, dbeng50.exe, dbsnmp.exe, DellSystemDetect.exe, encsvc.exe, EnterpriseClient.exe, excel.exe, firefox.exe, infopath.exe, isqlplussvc.exe, msaccess.exe, mspub.exe, mydesktopqos.exe, mydesktopservice.exe, notepad.exe, ocautoupds.exe, ocomm.exe, ocssd.exe, onenote.exe, oracle.exe, outlook.exe, powerpnt.exe, pvlsvr.exe, QBCFMonitorService.exe, QBDBMgrN.exe, QBIDPService.exe, raw_agent_svc.exe, SAP.exe, saphostexec.exe, saposcol.exe, sapstartsrv.exe, sqbcoreservice.exe, sql.exe, sqlbrowser.exe, sqlservr.exe, sqlwriter.exe, steam.exe, synctime.exe, tbirdconfig.exe, TeamViewer.exe, TeamViewer_Service.exe, thebat.exe, thunderbird.exe, tv_w32.exe, tv_x64.exe, VeeamDeploymentSvc.exe, VeeamNFSSvc.exe, VeeamTransportSvc.exe, visio.exe, vsnapvss.exe, vxmon.exe, winword.exe, wordpad.exe, xfssvccon.exe 

Отключает следующие службы:
AcronisAgent, AcrSch2Svc, backup, BackupExecAgentAccelerator, BackupExecAgentBrowser, BackupExecDiveciMediaService, BackupExecJobEngine, BackupExecManagementService, BackupExecRPCService, BackupExecVSSProvider, CAARCUpdateSvc, CASAD2DWebSvc, ccEvtMgr, ccSetMgr, DefWatch, GxBlr, GxCIMgr, GxClMgrS, GxCVD, GxFWD, GXMMM, GxVss, GxVssHWProv, Intuit.QuickBooks.FCS, memtas, mepocs, MSExchange, MSSQL$SQLEXPRESS, MVArmor, MVarmor64, mysql, PDVFSService, QBCFMonitorService, QBDBMgrN, QBFCService, QBIDPService, RTVscan, SAP, SAPHostControl, SAPHostExec, SAPService, SavRoam, sophos, sql, SQLWriter, stc_raw_agent, veeam, VeeamDeploymentService, VeeamNFSSvc, VeeamTransportSvc, VMAuthdService, VSNAPVSS, vss, WSBExchange, YooBackup, YooIT

Файлы, связанные с этим Ransomware:
!!Restore-My-file-Kavva.txt - название файла с требованием выкупа;
C3CE46D40.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd.onion
Email: kawa4096@onionmail.org


TOX ID: 6A340207246B47E37F6D094D2236E5C6242B6E4461EEF8021FED2C9855240C3E11AEE886FAAF
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: c3ce46d40b2893e30bf00fce72c2e1fa 
SHA-1: bd30c87774c083a1003c0b9fb0a922b702302272 
SHA-256: f3a6d4ccdd0f663269c3909e74d6847608b8632fb2814b0436a4532b8281e617 
Vhash: 016066655d156515524z72z897z5045z3021z55z67z 
Imphash: 4c1c8cbbd976ae3a112e8ba7d16b465c


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support Added later: Write-up

Thanks: Hyuna Lee, petik, S!Ri Andrew Ivanov (article author) Cyfirma to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

понедельник, 2 июня 2025 г.

DireWolf

DireWolf Ransomware

DireWolf Doxware

DireWolf Hacking Group

(шифровальщик-вымогатель) (первоисточник)
Translation into English


DireWolf Ransomware logo

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов Curve25519 и ChaCha20, а затем требует связаться с вымогателями через чат на сайте в сети Tor, или через email вымоагтелей, чтобы узнать как заплатить выкуп и вернуть свои файлы. Оригинальное название: DireWolf. Написан на языке программирвоания Go. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.42458, Trojan.Encoder.42473
BitDefender -> Trojan.Generic.38142181, Trojan.Generic.38138312
ESET-NOD32 -> A Variant Of WinGo/Filecoder.JB, analogically
Kaspersky -> Trojan.Win32.DelShad.nrj, Trojan.Win32.DelShad.nrn
Malwarebytes -> Ransom.FileCryptor, analogically
Microsoft -> Trojan:Win32/Casdet!rfn, Ransom:Win64/DireWolf.A
Rising -> Ransom.Agent!1.129F5 (CLOUD), Ransom.Agent!1.129F5 (CLASSIC)
Tencent -> Win32.Trojan.Delshad.Ydkl, Win32.Trojan.Delshad.Jtgl
TrendMicro -> Ransom.Win64.DIREWOLF.THFBOBE, Ransom.Win64.DIREWOLF.THFBDBE
---

© Генеалогия: нет данных о родстве 
DireWolf


Сайт "ID Ransomware" идентифицирует DireWolf c 29 мая 2025 г. 


Информация для идентификации

Активность вымогателей была замечена в конце мая — начале июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших компании из разных стран:  США, Таиланд, Австралия, Бахрейн, Индия, Италия, Канада, Мексика, Сингапур, Тайвань, Франция. 

К зашифрованным файлам добавляется расширение: .direwolf

Записка с требованием выкупа называется: HowToRecoveryFiles.txt

DireWolf Ransomware note, записка о выкупе

DireWolf Ransomware note, записка о выкупе


Содержание записки о выкупе: 
Dear Mr or Ms, 
If you are reading this message, it means that: 
- your network infrastructure has been compromised
- critical data was leaked
- files are encrypted
--------------------------------------------------------------------------
The best and only thing you can do is to contact us
to settle the matter before any losses occurs. 
--------------------------------------------------------------------------
We can maintain confidentiality for 3 days for you, during which we will not disclose any information about your intrusion or data leakage. 
We can extend the confidentiality period free of charge until we reach an agreement if you contact us within 3 days and communicate effectively with us.
If the confidentiality period expires, we will disclose the relevant information. 
We provide complimentary decryption testing services. For specific details, please contact us.
--------------------------------------------------------------------------
We have provided a sample document as proof of our possession of your files and you can download and check it: 
- hxxxs://gofile.io/d/3*****
Please be advised that your files are scheduled for public release after 30 working days. 
If you want to secure your files, we urge you to reach out to us at your earliest convenience.
--------------------------------------------------------------------------
Contact Details:
- live chat room:
- url:hxxx://direwolf3ddtab5anvhulcelauvoxu2a7l264hqs6vtxtgrqsjfvodid.onion/ 
- roomID: thairung
- username: tha*****
- password: E27*****
-------------------------------------------------------------------------- 
Our official website:
- url:hxxx://direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd.onion/
--------------------------------------------------------------------------
How to access .onion website: 
1.Download and install TOR Browser https://torproject.org
2.Open it and try to access our onion address
3.Maybe you need to use VPN if it can not open our onion address



Скриншоты с сайта вымогателей:






Скриншоты с тестовой машины:

выполняется шифрование

записка о выкупе

 
варианты сообщения на разных версиях Windows

последующая перезагрузка




✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 


Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Перед шифрованием завершает ряд процессов, отключает некоторые антивирусные программы, чтобы беспрепятственно шифровать все файлы. кроме тех, что находятся в списке исключений. 

Удаляет теневые копии файлов через vssadmin и wmic, отключает и удаляет резервное копирование Windows, очищает журналы событий Windows, отключает функции восстановления и исправления Windows на этапе загрузки командами:
vssadmin delete shadows /all /quiet
wmic shadowcopy delete /nointeractive
wbadmin disable backup -quiet
wbadmin delete backup -keepVersions:0 -quiet
wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0 -quiet
wbadmin delete catalog -quiet
bcdedit /set {default} recoveryenabled No
bcdedit /set {default} bootstatuspolicy ignoreallfailures
wevtutil cl Application
wevtutil cl system
wevtutil cl security
wevtutil cl setup


Похищает данные из браузеров.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Список исключений:
.exe, .dll, .sys, .drv, .bin, .tmp, .iso, .img, .direwolf

Файлы, связанные с этим Ransomware:
HowToRecoveryFiles.txt - название файла с требованием выкупа;
data345.exe - название вредоносного файла;
runfinish.exe - специальный файл на диске C, сбрасываемый после шифрования, который ищет шифровальщик, чтобы проверить — были ли зашифрованы файлы. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\runfinish.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
Global\direwolfAppMutex
Наличие этого мьютекса гарантирует, что только один экземпляр шифровальщика запускается в данный момент времени.
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL
: hxxx://direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd.onion
hxxx://direwolf3ddtab5anvhulcelauvoxu2a7l264hqs6vtxtgrqsjfvodid.onion

QTox ID: B344BECDC01A1282F69CB82979F40439E15E1FD1EF1FE9748EE467F5869E2148E6F1E55959E2
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

 
Результаты анализов: 
IOC: VT, IA, TG
MD5: a71dbf2e20c04da134f8be86ca93a619 
SHA-1: ed7c9fbd42605c790660df86b7ec325490f6d827 
SHA-256: 8fdee53152ec985ffeeeda3d7a85852eb5c9902d2d480449421b4939b1904aad 
Vhash: 07503e0f7d1bz4!z 
Imphash: 6ed4f5f04d62b18d96b26d6db7c18840
---
IOC: VTIA, TG
MD5: aa62b3905be9b49551a07bc16eaad2ff 
SHA-1: 4a5852e9f9e20b243d8430b229e41b92949e4d69 
SHA-256: 27d90611f005db3a25a4211cf8f69fb46097c6c374905d7207b30e87d296e1b3 
Vhash: 026066655d5d15541az28!z 
Imphash: f0ea7b7844bbc5bfa9bb32efdcea957c

Степень распространённости: высокая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***

Thanks: DarkFeed, Bitshadow, petik, PaduckLee Andrew Ivanov (article author) Trustwave to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

воскресенье, 1 июня 2025 г.

Сделайте Добро!



Спасибо, что зашли к нам сегодня!

Станьте Добрым Волшебником, помогите детям! 

С 2016 года мы помогаем людям делать добрые дела вместе с проверенными фондами. Вы можете выбрать кому помочь сейчас. 

Просто знайте, что завтра проснётся ребёнок, которому вы помогли сегодня! Каждый пожертвованный рубль действительно решает судьбы детей. Поэтому, пожалуйста, не думайте, что ваши 50, 100, 500 рублей (долларов или евро) не спасут жизнь. 


Нажмите на ссылку и на открывшемся сайте выберите кому Вы хотите помочь. Любая денежная сумма пойдет на доброе дело, поможет людям или животным. Если люди еще могут как-то помочь друг другу, то животные, наши милые меньшие братья-сестры, сами себе не помогут. Наши предки говорили: «Вернее собаки зверя нет! Милее кошки зверя нет!»... И были тысячи раз правы.

Махатма Ганди говорил: «Величие и моральный прогресс нации можно измерить тем, как эта нация относится к животным». Ученые, мыслители, врачи разных эпох отмечали прямую взаимосвязь бесправия животных с бесправием людей: тому, кто спокойно убивает животное, не составит труда убить и человека. 

Всякий раз, когда Вы получаете зарплату или деньги за сделанную работу, пожертвуйте хоть 100 рублей (долларов или евро) на Доброе дело! И Добро вернётся к Вам сторицей! 






© Amigo-A (Andrew Ivanov) и Добро Mail.ru (Россия) 

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *