HYFLOCK

HYFLOCK Ransomware

Hyflock Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей с помощью комбинации алгоритмов: AES-128-CTR + RSA-4096 (по данным из  партнерской программы) или использует шифрование HC-128 (в тексте записки о выкупе), а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Написан на языке Rust. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> Win64/TrojanDropper.Agent.XG Trojan
Kaspersky -> VHO:Trojan-PSW.Win32.Greedy.gen
Malwarebytes -> 
Microsoft -> Trojan:Win32/Sonbokli.A!cl
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >>

Сайт "ID Ransomware" идентифицирует HYFLOCK с 12 ноября 2026.

Информация для идентификации

Активность группировки, продвигающей этого крипто-вымогателя, была замечена в марте 2026 г. В течение года HYFLOCK претерпел несколько модернизаций. В октябре 2-я версия шифровальщика стала автономной. 

К ноябрю 2026 г. количество пострадавших увеличилось до двух десятков. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .locked

Зашифрованные файл получают специальный значок. 

Записки с требованием выкупа называются: 

How to Restore My Files.html

How to Restore My Files.txt

В зависимости от версии шифровальщика могут быть различия. 

Часть записки в формате HTML

Вариант записки в формате TXT

Содержание записки How to Restore My Files.txt:

HYFLOCK

Security Division :: Enterprise Encryption System

► SYSTEM ENCRYPTION PROTOCOL :: v2.7.1

► STATUS :: ALL FILES SECURED

► NODE ::

⚠ CRITICAL SECURITY NOTICE

IMMEDIATE ACTION REQUIRED

DO NOT attempt to decrypt files yourself

DO NOT modify or delete encrypted files

DO NOT use third-party decryption tools

DO NOT reboot or shut down your system

Contact us within 48 hours to avoid data loss

Your files have been secured with military-grade HC-128 encryption. They are NOT deleted, only inaccessible without the unique decryption key.

◈ DECRYPTION CREDENTIALS

TOX CONTACT (PRIMARY)

[-]

⏱ Response time: 2-24 hours. Save your Victim ID - it is required for decryption.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ В работе ранней версии шифровальщика обнаружился дефект, который мог привести к безвозвратному удалению частей файла, препятствуя полному восстановлению даже при наличии правильного ключа расшифровки.

➤ В октябрьской сборке от 17 октября (v.2.0) обнаружилось, что в больших файлах были зашифрованы только первые 4096 байт, что оставляло доступ к дополнительному содержимому за пределами этого начального участка и позволяло восстановить некоторые файлы Office без получения ключа шифрования. Остальные файлы оставались зашифрованными или повреждёнными. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:

How to Restore My Files.html - название файла с требованием выкупа;

How to Restore My Files.txt - название файла с требованием выкупа;
system_config.dat - специальный файл шифровальщика; 

<random>.exe - случайное название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PCrisk (Tomas Meskauskas), Check Point
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

CocaWare

CocaWare Ransomware

Aliases: COCAWARE, CYBERPUNK RANSOM

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов ChaCha20-Poly1305 (256-bit), а затем требует выкуп $4,000 в BASE, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> CocaWare

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале ноября 2026 г. Ориентирован на испаноязычных и англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .coca

Записка с требованием выкупа называется: LEEME.txt

Содержание записки о выкупе:

COCAWARE

CYBERPUNK RANSOM

═══

TUS ARCHIVOS FUERON ENCRIPTADOS

═══

Todos los documentos, imagenes, videos y bases de datos de esta

maquina fueron encriptados (ChaCha20-Poly1305, 256 bits).

Los archivos ahora terminan en:  .coca

Ejemplo:  presupuesto.xlsx.coca

───

 1) TU CLAVE DE DESENCRIPTADO  (unica, guardala)

───

4uL91ypFnLnN2a8SdT5z73qgQ6CpfuAS8KqZgDGp19GBqq2BMwuAyu2

───

2) PAGO   ->   USD $4000

───

RED:  BASE      (red EVM, barata y rapida)

Direccion de cobro:

0xA7E7178b0aFcCF83Fb8E1a0fdfBb6E84a1225206

Monto: USD $4000 (equivalente en ETH al momento del pago).

* Envia UNICAMENTE por la red BASE.

* Si pagas desde un exchange, elegi red BASE al retirar.

* Si mandas por otra red, avisalo igual en el mail.

───

3) COMO RECUPERAR

───

a) Paga a la direccion de arriba.

b) Manda un mail a:   cocaware@proton.me

Asunto: CocaWare + tu clave

Adjunta: comprobante de pago + esta clave

c) Te enviamos el desencriptador atado a ESTA maquina.

───

 4) MUY IMPORTANTE - LEER ANTES DE TOCAR NADA

───

* NO borres, NO muevas y NO renombres los archivos .coca.

* NO reinstales el sistema operativo.

* NO cambies el nombre del equipo ni el usuario de Windows.

* NO restaures el sistema ni uses puntos de restauracion.

* NO saques los archivos del disco del sistema operativo.

Si tocas algo de lo anterior, la huella de la maquina cambia

y el desencriptador NO va a poder validar el equipo.

* El desencriptador NO necesita internet ni ningun servidor.

* Este LEEME.txt se repite en cada carpeta encriptada.

═══

CocaWare   ::   cocaware@proton.me

═══

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
LEEME.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: cocaware@proton.me
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

BYOD

BYOD Ransomware

Byod Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: BYOD. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >>

Сайт "ID Ransomware" идентифицирует BYOD c 12 ноября 2026. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале октября и продолжилась в ноябре 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .byod

Записки с требованием выкупа разбрасываются по рабочему столу в большом количестве и называются: 

от README_BYOD_1.txt до README_BYOD_31.txt или больше

Содержание записки о выкупе:

Oh no, you have been compromised by BYOD :< 

We have all of your data including your backups, your entire network is compromised.

Yes, this affects your student and employee data the most, every single SSN is archived, full names, email addresses, phone numbers, work addresses, roles, birthdays, quite literally everything.

We suggest you do not try to fight it, we done our research on you, it's much more appreciated if you were to reach out to us and make a decision to resolve this off the grid, i it makes everyone's lives easier.

You can either take our word for it and look at the previous companies we attacked who's data seem to not be publish, or   become the next headline and face the cansequences. 

Your choice. We don't care, we will watch this entire estate collapse to the ground if we have to due to our demands not being met, simple as, we will not beat around the bush about this. You aren't the first and you won't be the last. 

hxxxs://byodxn5s7sua6oyyjj74rycgn6eafncfckprt5ezskt3cni61g3wdrgad.onion/

***

To download Session, please visit: https://getsession.org/download

Thank you, we hope to see you reach out to us soon to discuss this in further detail, we won't let the whole team see the ins and outs and let be for those who eyes are meant to see it only, whoever is permitted to communicate with us, time is ticking. Make the right choice. 

Перевод содержания на русский язык (Google translation):

О нет, ваша система скомпрометирована BYOD :<

У нас есть все ваши данные, включая резервные копии; вся ваша сеть скомпрометирована.

Больше всего пострадали данные ваших студентов и сотрудников: у нас есть всё — от номеров социального страхования (SSN) до полных имен, адресов электронной почты, номеров телефонов, рабочих адресов, должностей и дат рождения. Буквально всё.

Советуем не пытаться сопротивляться — мы собрали о вас достаточно информации. Будет гораздо лучше, если вы свяжетесь с нами и решите вопрос в частном порядке — так всем будет проще.

Можете поверить нам на слово и посмотреть на другие компании, которые мы атаковали — их данные так и не были опубликованы. А можете стать героями заголовков в новостях и столкнуться с последствиями.

Выбор за вами. Нам, по большому счету, всё равно: если наши требования не будут выполнены, мы просто будем наблюдать, как вся ваша инфраструктура рушится до основания. Говорим прямо, без обиняков. Вы не первые и не последние.

hxxxs://byodxn5s7sua6oyyjj74rycgn6eafncfckprt5ezskt3cni61g3wdrgad.onion/

***

Чтобы скачать Session, перейдите по ссылке: https://getsession.org/download

Надеемся, что вы свяжетесь с нами в ближайшее время для обсуждения деталей. Мы не станем раскрывать подробности всей вашей команде — информация останется доступной только для тех, кому положено её видеть (тех, кому поручено вести с нами переговоры). Время идет. Сделайте правильный выбор.

Экран с сообщением вымогателей на их сайте 

Восстановленный баннер с сайта вымогателей

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README_BYOD_1.txt — README_BYOD_31.txt - названия файлов с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor: hxxxs://byodxn5s7sua6oyyjj74rycgn6eafncfckprt5ezskt3cni61g3wdrgad.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 BleepingComputer
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

TargetZimbra, Elock

TargetZimbra Ransomware

Elock Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные почтовых серверов Zimbra с помощью комбинации алгоритмов ChaCha20+RSA-2048, а затем требует выкуп в 10-50 XMR, чтобы вернуть файлы. Расшифровка невозможна без закрытого ключа RSA-2048. Оригинальное название: в записке не указано.
---
Обнаружения: нет образцов. 
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> TargetZimbra (Elock)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .elock

Записка с требованием выкупа называется: !README_RECOVER.txt  

Содержание записки о выкупе:

!!! All of the Company's Files Have Been Encrypted !!!

[Urgent Security Notice]

Please remain calm; this is just a business crisis.

We have successfully infiltrated your network and used military-grade algorithms to encrypt all of your servers.

Prior to the encryption, we stole significant amounts of sensitive corporate data.

If you refuse to negotiate, these data will be published on our dark web leak site, causing substantial financial and reputational damage.

If you wish to restore your system without exposing this data:

You must pay 50 XMR cryptocurrency.

Payment Address: 45EQACa2DVwHEMP2TcvhrgQgCeDUiwLnbcWrTmbUrHqZ1pFu8KJodc93PwXwEKeiegPesnddiVw47XdwZs1MZ68LFVjayY2

Failure to pay within 72 hours will result in a doubling of the ransom; failure to pay within one week will lead to the data being sold to your competitors and released publicly.

Upon making the payment, please send confirmation to the designated email address, and we will provide you with decryption tools.

Contact Email: cccsitadm@proton.me

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Возможно эксплуатирует уязвимость, известную как CVE-2026-73570 или ещё более ранние. Успешная эксплуатация уязвимости позволяет неавторизованным злоумышленникам получить возможность удаленного выполнения кода, используя уязвимость внедрения команд в компоненте мониторинга SNMP, когда на целевой системе включены уведомления SNMP. 

Статья об этом >>

✋ Внимание! В подобных статьях антироссийски настроенные эксперты целенаправленно сваливают вину за любые инциденты на российских хакеров и государственные структуры. Это обычная тактика дискредитации. Пусть они остаются при своём мнении — тем громче прозвучит их провал, когда правда неизбежно вскроется.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
!README_RECOVER.txt - название файла с требованием выкупа;
ELF-файл - вредоносный файл.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: cccsitadm@proton.me

XMR: 45EQACa2DVwHEMP2TcvhrgQgCeDUiwLnbcWrTmbUrHqZ1pFu8KJodc93PwXwEKeiegPesnddiVw47XdwZs1MZ68LFVjayY2

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 to the authors of messages
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Wallstreet

Wallstreet Ransomware

Wall Street Ransomware

(шифровальщик-вымогатель, группа хакеров) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп и даёт жертве до 5 дней на размышление, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Используется в схеме двойного вымогательства. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> Wallstreet

Сайт "ID Ransomware" идентифицирует Wallstreet с 30 октября 2026. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в середине июня и продолжилась в течении 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Страны, где находятся пострадавшие организации и компании: США, Швеция, Великобритания, Дания, Германия, Индия, Китай. 

Целевые отрасли: здравоохранение, производство, образование, бухгалтерия,  правительство, строительство, энергетика, розничная торговля, автосервисы, архитектурные бюро, некоммерческие организации. 

К зашифрованным файлам добавляется расширение: *нет данных*.


Записка с требованием выкупа называется: *нет данных*.


Содержание записки о выкупе:
***



✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL (Data Leak site): 4dwiv37h7hhuhjpvtn72hme4ylcv3qoe65arfc6mbweal7als6ma7pyd.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.