Если вы не видите здесь изображений, то используйте VPN.

среда, 1 ноября 2023 г.

Werewolves

Werewolves Extortion Group

Werewolves Ransomware

Werewolves Doxware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Werewolves Extortion Group

Этот крипто-вымогатель шифрует данные бизнес-пользователей с помощью комбинации алгоритмов, а затем требует выкуп от $100.000 до $1.000.000 и угрожает опубликовать или продать украденные данные, чтобы вернуть файлы. Вымогатели используют  методы двойного вымогательства с угрозой публикации (продажи) украденных данных. Оригинальное название: Werewolves. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: LockBit3 (Black) >> 
Werewolves


Сайт "ID Ransomware" вероятно, это идентифицирует как LockBit 3.0 (не проверено). 



Информация для идентификации

Активность этого крипто-вымогателя против российских компаний и предприятий была замечена с июня по ноябрь 2023 г. Группа ориентирована против русскоязычных бизнес-пользователей (среди них — банки, микрофинансовые организации, предприятия нефтегазового сектора, отели, IT-компании и пр.), но может распространяться по всему миру. Есть сообщения об единичных атаках против иностранных компаний (по странам: Италия, Голландия и пр.), но пока нет документального подтверждения в виде записок о выкупе и образцов вредоносных файлов. 

К зашифрованным файлам добавляется расширение: *нет данных*.

Записка с требованием выкупа называется: *нет данных*.



Содержание записки о выкупе:
***WEREWOLVES***WEREWOLVES***WEREWOLVES***WEREWOLVES
ВНИМАНИЕ!НЕ ЗАКРЫВАЙТЕ СООБЩЕНИЕ,ПОКА НЕ ОЗНАКОМИТЕСЬ С ИНФОРМАЦИЕЙ.
***ВСЕ ВАШИ ДАННЫЕ УКРАДЕНЫ И ЗАШИФРОВАНЫ***
Отнеситесь к ситуации серьезно.Вся важная конфиденциальная информация из корпоративной сети будет опубликована в сети ТОК,если вы не заплатите.Кроме того будет проведена таргетированная рассылка по базам (учитывая сферу вашей деятельности)со ссылкой на ваши данные,любой желающий сможет скачать и использовать их.Стойкость алгоритма шифрования такова,что используется спецслужбами и военными по всему миру,без ключа вы никогда не сможете дешифровать данные.Каждый ключ уникален.
Обращаем ваше внимание!
Некоторые данные ваших клиентов выгружены и похищены.
В случае не оплаты информация будет точечно предана огласке,что безусловно отразится на вашей репутации.
В случае консенсуса никакая информация не будет разглашена и использована.
***НАШИ ГАРАНТИИ***
Наша группа не имеет отношение к политике-нас интересуют только финансы.
Обращаем Ваше внимание,что дешифровка информации при наличии ключа очень проста,доступна любому пользователю и занимает в среднем менее минуты на одном компьютере-на другой чаше весов ущерб от простоя в работе бизнеса,потеря и разглашение важной информации,ущерб репутации,и прочее...
К моменту,когда вы читаете эти строки у нас есть исчерпывающая информация(в том числе документально подтвержденная) о финансовой составляющей вашей организации,численности персонала,партнерских связях,контактах,бухгалтерской отчетности, личностях руководящего состава и их долях в бизнесе,а так же прочая конфиденциальная информация личного характера.
Мы так же уделяем внимание темным сторонам деятельности компаний при соответсвующем анализе.
Свяжитесь с нами и вы получаете дешифратор,так же мы удаляем всю конфиденциальную информацию.
Дополнительно по запросу вы получите короткие,но профессиональные рекомендации по защите ваших систем от проникновения(что тоже стоит денег).Мы бережем свою репутацию и всегда направляем декриптор после оплаты.
В качестве доказательства мы можем бесплатно дешифровать один файл любого объема.
***ВНИМАНИЕ!
При обращении просим называть имя компании
***ПАРТНЕРСКАЯ ПРОГРАММА***
Наша уважаемая организация работает по всему миру,за исключением стран,непосредственно пострадавших от войн и природных катаклизмов.
Мы атакуем все организации коммерческого спектра,за исключением критической инфраструктуры(такой как больницы,госпитали,прочие медицинские учреждения).
Вы можете стать партнером программы,предоставив нам доступы к К0Р,$МТР и т.д.Вы можете сделать это тайно, запустив предоставленный файл на компьютере партнера.Компании платят нам за расшифровку данных и предотвращение утечки.


Сайт вымогателей (
Data Leak Site)





Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: -


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***

Thanks: F.A.C.C.T. Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

вторник, 24 октября 2023 г.

Cataka

Cataka Ransomware

CATAKA Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Cataka Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в $1500 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: clip.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.38146
BitDefender -> Generic.Ransom.Small.D5A61D14
ESET-NOD32 -> A Variant Of MSIL/Filecoder.Chaos.B
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Chaos.MSIL
Microsoft -> Trojan:Win32/ScarletFlash.A
Rising -> Ransom.HakunaMatata!1.E7BF (CLASSIC)
Tencent -> Malware.Win32.Gencirc.13f35a47
TrendMicro -> Ransom.MSIL.HAKUNAMATATA.THJBEBC
---

© Генеалогия: ✂ Chaos + другой код >>



Сайт "ID Ransomware это не идентифицирует. 



Информация для идентификации

Активность этого крипто-вымогателя была в середине — конце октября 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется случайное расширение: .<random>

Примеры таких расширений: 
.qMQea
.yPkJX
.5TgUi

Записка с требованием выкупа называется: Readme.txt

Cataka Ransomware note, записка о выкупе


Содержание записки о выкупе:
--- CATAKA RANSOMWARE---
Oops sorry your file has been encrypted using a very strong algorithm.
It might be impossible to open it without a special key from me.
But don't worry, because you can still recover all files that have been encrypted using my key.
To get the key, you can buy it for $1500 using Bitcoin currency.
If you are interested in making a payment, 
Contact email: itsevilcorp90@hotmail.com

Перевод записки на русский язык:
--- CATAKA RANSOMWARE---
К сожалению, ваш файл зашифрован с очень надежным алгоритмом.
Возможно, его невозможно открыть без моего специального ключа.
Но не волнуйтесь, вы можете восстановить все файлы, зашифрованные с помощью моего ключа.
Чтобы получить ключ, вы можете купить его за $1500 в валюте Биткойн.
Если вы заинтересованы в совершении платежа,
Пишите на email: itevilcorp90@hotmail.com


Записка с указанием на прочтение текстового файла написана на изображении, заменяющем обои Рабочего стола: 


Текст на экране:
All your files are stolen and encrypted
Find readme.txt and follow the instruction


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 




Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Прибивает приложения, чтобы не мешали шифровать файлы:
agntsvc, CNTAoSMgr, code, dbeng50, dbsnmp, encsvc, excel, firefoxconfig, infopath, isqlplussvc, mbamtray msaccess, msftesql, mspub, mydesktopqos, mydesktopservice, mysqld, mysqld-nt, mysqld-opt, Ntrtscan, ocautoupds, ocomm, ocssd, onenote, oracle, outlook, PccNTMon, powerpnt, ProcessHacker, sqbcoreservice, sqlagent, sqlbrowser, sqlservr, sqlwriter, steam, synctime, tbirdconfig, thebat, thebat64, thunderbird, tmlisten, VBoxSVC, VirtualBoxVM, visio, vmplayer, winword, wordpad, wps, xfssvccon, zoolz 

Список типов файлов, подвергающихся шифрованию:
.1c, .1cd, .3ds, .3fr, .3g2, .3gp, .7z, .7zip, .accda, .accdb, .accdc, .accde, .accdr, .accdt, .accdw, .ace, .adp, .ai, .ai3, .ai4, .ai5, .ai6, .ai7, .ai8, .amv, .apk, .arj, .arw, .ascx, .asm, .asmx, .asp, .aspx, .avi, .avs, .backup, .bak, .bay, .bin, .bk, .blob, .bmp, .bz2, .c, .cab, .cer, .cfm, .ckp, .config, .contact, .core, .cpp, .crt, .cs, .css, .csv, .cub, .cvs, .dacpac, .dae, .dat, .db, .db3, .dbc, .dbf, .dbs, .dbt, .dbv, .dbx, .dc3, .dcm, .dcr, .dib, .dic, .dif, .divx, .djvu, .dmg, .doc, .docm, .docx, .dot, .dotx, .dt, .dwg, .dwt, .epsp, .exif, .exr, .f4v, .flv, .frm, .geo, .gif, .gz, .gzip, .htm, .html, .ibank, .ico, .iff, .inc, .indd, .ini, .iso, .jar, .java, .jpe, .jpeg, .jpg, .js, .json, .json, .jsp, .jsp, .jsx .key, .kmz, .kwm, .lnk, .log, .lzh, .lzma, .lzo, .m1v, .m4a, .m4p, .m4v, .max, .mda, .mdb, .mde, .mdf, .mdw, .mht, .mhtml, .mka, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .mpv, .mrg, .mrg, .msg, .mwb, .myd, .myi, .ndf, .nef, .nrw, .obj, .odc, .odm, .odp, .ods, .odt, .oft, .onepkg, .onetoc2, .opt, .oqy, .orf, .ova, .p12, .p7b, .p7c, .pam, .pas, .pdb, .pdf, .pfx, .php, .pict, .pl, .pls, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppt, .pptm, .pptx, .ps, .psb, .psd, .pst, .py, .qry, .r3d, .rar, .raw, .rb, .rgbe, .rss, .rtf, .safe, .sdb, .sdf, .settings, .sie, .slk, .sln, .sql, .sqlite, .sqlite3, .stm, .sum, .svg, .svgz, .swf, .swift, .tab, .tar, .tar.gz, .tar.xz, .tbi, .tgz, .tif, .tmd, .torrent, .txt, .txz, .udl, .uxdc, .vb, .vbox, .vbs, .vdi, .vmdk, .vmx, .vob, .vsdx, .vss, .wallet, .wav, .wdb, .webm, .wim, .wma, .wmf, .wmv, .wpd, .wps, .xhtml, .xla, .xlam, .xlk, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xps, .xsd, .xsf, .xsl, .xslt, .xsn, .xtp2, .xz, .z, .zip, .zipx

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, изображения, фотографии, чертежи, 1С-файлы, веб-файлы, музыка, видео, файлы образов, архивы и пр.

Пропускает файлы и папки: 
$recycle.bin,
autorun.inf, 
boot.ini, bootfont.bin, bootmgr, bootmgr.efi, bootmgfw.efi, 
.bat, .bat.exe, clip.exe и другие exe-файлы, 
desktop.ini, iconcache.db, 
ntuser.dat, ntuser.ini, 
thumbs.db, 
windows, windows.old, windows.old.old, 
amd, boot, games, msocache, nvidia, 
documents and settings, intel, perflogs, 
program files, program files (x86), programdata, 


Файлы, связанные с этим Ransomware:
Readme.txt - название файла с требованием выкупа;
clip.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: itsevilcorp90@hotmail.com
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Скриншоты из pestudio:



Скриншоты из dnSpy:

notes

targeted extensions

RSA key

kill apps


exceptional files

exceptional path

note name

wallpaper message

run bat file

random string RNG

string combo


Результаты анализов: 
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: 1974b3efe52893678a024e9fe8ff07a0
SHA-1: 4d5b9d7b81cf7e38e65d402bf30a3b90f7271022
SHA-256: 38e48171841e732efe6ce8b4713c315a805a6cbb347eb98b9a6e4daeb230b095
Vhash: 22403655151d00812b0017
Imphash: f34d5f2d4577ed6d9ceec516c1f5a744


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***

Thanks: PCrisk Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

четверг, 5 октября 2023 г.

Lambda

Lambda Ransomware

LambdaCrypter Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Lambda Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов (возможно: Curve25519, ChaCha20), а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: LambdaCrypter.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.38085
BitDefender -> Gen:Variant.ClipBanker.180
ESET-NOD32 -> Win32/Filecoder.OPB
Kaspersky -> HEUR:Trojan-Ransom.Win32.Gen.gen
Malwarebytes -> Malware.AI.1027041180
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Trojan.Generic@AI.100 (RDML:h7*
Tencent -> Malware.Win32.Gencirc.11b74af6
TrendMicro -> Ransom.Win32.CELANCYC.THJOFBC
---

© Генеалогия: 
✂ Proxima >> BTC-azadi, BTC-azadi NG >> Lambda (2023)


Сайт "ID Ransomware" идентифицирует это как Lambda Ransomware



Информация для идентификации

Активность этого крипто-вымогателя была в начале октября 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .Lambda


Записка с требованием выкупа называется: LAMBDA_README.txt

Lambda Ransomware note, записка о выкупе

Содержание записки о выкупе:
[[=== Lambda Ransomware ===]]
[+] What's happened?
All your files are encrypted and stolen, but you need to follow our instructions. otherwise, you cant return your data (NEVER).
[+] What guarantees?
Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will not cooperate with us. Its not in our interests.
To check the ability of returning files, we decrypt one file for free. That is our guarantee.
If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data, cause just we have the private key. time is much more valuable than money.
[+] Instructions:
a) Download and install Tor Browser from this site: https://www.torproject.org/
b) Open our website: hxxx://nn5ua7gc7jkllpoztymtfcu64yjm7znlsriq3a6v5kw7l6jvirnczyyd.onion
c) Enter this UID in the input: ****************
!!! DANGER !!!
DON'T try to change files by yourself, DON'T use any third party software for restoring your data or antivirus/edr solutions - its may entail damage of the private key and, as result, The Loss all data.
SPEAK for yourself. Since no one else has the private key, any interfere of third party companies/individuals is tantamount to scamming you.
ONE MORE TIME: Its in your interests to get your files back. From our side, we (the best specialists) make everything for restoring, but please should not interfere.
!!! !!! !!!


Перевод записки на русский язык:
[[=== Lambda Ransomware ===]]
[+] Что случилось?
Все ваши файлы зашифрованы и украдены, но вам нужно следовать нашим инструкциям. иначе вы не сможете вернуть свои данные (НИКОГДА).
[+] Какие гарантии?
Это просто бизнес. Нам абсолютно плевать на вас и ваши сделки, кроме получения выгоды. Если мы не выполним свою работу и обязательства – с нами никто сотрудничать не будет. Это не в наших интересах.
Для проверки возможности возврата файлов мы бесплатно расшифруем один файл. Это наша гарантия.
Если вы не будете сотрудничать с нашим сервисом – для нас это не имеет значения. Но вы потеряете свое время и данные, ведь приватный ключ есть только у нас. время гораздо ценнее денег.
[+] Инструкции:
а) Загрузите и установите Tor Browser с этого сайта: https://www.torproject.org/
б) Откройте наш сайт: hxxx://nn5ua7gc7jkllpoztymtfcu64yjm7znlsriq3a6v5kw7l6jvirnczyyd.onion
в) Введите этот UID во входные данные: ****************
!!! ОПАСНОСТЬ !!!
НЕ пытайтесь изменить файлы сами, НЕ используйте сторонние программы для восстановления ваших данных или антивирусные/EDR-решения - это может повлечь за собой повреждение закрытого ключа и приведет к потере всех данных.
Говори за себя. Поскольку никто больше не имеет закрытого ключа, любое вмешательство сторонних компаний/частных лиц равносильно мошенничеству.
ЕЩЕ РАЗ: В ваших интересах вернуть свои файлы. Мы со своей стороны (лучшие специалисты) делаем все для восстановления, но просьба не мешать.
!!! !!! !!!


Добавляет текст на экран входа Windows: 
All of your files are stolen and encrypted!Find LAMBDA_README.txt and follow instructions

Интересные "Hello Kitty" и "hot-dog" в коде:

 



Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

➤ Препятствует восстановлению файлов: 
Удаляет теневые копии файлов, очищает журналы системы, очищает корзины от удаленных файлов. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
LAMBDA_README.txt - название файла с требованием выкупа;
LLTKTPF.bmp, LPW10.tmp, 0F3LWP.tmp - вспомогательные временные файлы; 
LambdaDebug.txt - файл записи отладочной информации; 
LambdaCrypter.exe - название вредоносного файла. 

Скриншоты из pestudio:





Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
SOFTWARE\Classes\.Lambda\DefaultIcon
См. ниже результаты анализов.

Мьютексы:
Global\ClickToRunPackageLocker
Global\LambdaMutex
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://nn5ua7gc7jkllpoztymtfcu64yjm7znlsriq3a6v5kw7l6jvirnczyyd.onion
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: 6c292c92e703a155612fe50ea96161d1
SHA-1: e6ea7c6f564a2fbe15beaf3419dc334d536f250c
SHA-256: a1bcb4ceb586cd9dc78323ce2888080ea88a58708a3a95e546bff46d74fc13c8
Vhash: 025056655d15556155zc00771z3041z4045z4061z51z71zf7z
Imphash: 1c948a2965f69dde54a4b06b3846df84


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Proxima Ransomware - январь 2023
BTC-azadi Ransomware - январь 2023
Cylance Ransomware - март 2023
BTC-azadi NextGen Ransomware - с марта 2023
другие варианты - март-апрель-май 2023
BlackShadow Ransomware - май-июль 2023
BlackBerserk (BlackRecover) Ransomware - с июля 2023
другие варианты - август-ноябрь 2023
Lambda (LambdaCrypter) Ransomware - октябрь 2023



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***

Thanks: Michael Gillespie, rivitna Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

среда, 4 октября 2023 г.

LuckBit

LuckBit Ransomware

(шифровальщик-вымогатель, хакерская группа, RaaS) (первоисточник)
Translation into English

LuckBit Ransomware

Этот крипто-вымогатель атакует 
пользователей и шифрует данные с помощью комбинации алгоритмов, а затем требует выкуп в #BTC, чтобы вернуть файлы. Оригинальное название: LuckBit Ransomware. На файле написано: нет данных. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: неизвестна. 


Сайт "ID Ransomware" это 
идентифицирует как Luckbit



Информация для идентификации

Сайт этого крипто-вымогателя был обнаружен в начале октября 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К сожалению, исследователь не сделал других скриншотов сайта и не предоставил адрес этого сайта. 

Скриншот с сайта

LuckBit Ransomware


Содержание начальной страницы:
Thank you for visiting us. If you're reaching into this webpage, meaning your infrastructure/machine/server possibly vulnerable to the attacker.
What is LuckbitLuckbit is our precious ransomware campaign. The name have nothing to do with any company, individual or ship. This is solely based on random generated name from the AI.
We are offering the world cheapest ransom as possible to fit into your budget and depending on your currency and financial status. We are non-political related on any attacks.
To let you know, this webpage has been generated by AI and possibly at very less human interaction with its client.
Thus, there will be no person behind this server to interact with its client. This webpage, server side script are generated by AI.
Our goal:
• We are not focusing much on profit. Enough to make this server up and running.
• Encourage company to patch their machine with the ransomware attack.
• Exfilterated data will be published on this webpage except user pay the ransom.
• Reporting to the authority is useless as we will published all user data immediately whether paid or not.
• Payment option will have flexible as much as possible.
• The attack is covering all over the world including future Moonbase and Mars base camp.

Перевод:
Спасибо за то, что посетили нас. Если вы зашли на эту веб-страницу, это означает, что ваша инфраструктура/машина/сервер, возможно, уязвима для атакующего.
Что такое Luckbit? Luckbit — наша ценная ransomware кампания. Название не имеет никакого отношения к какой-либо компании, физическому лицу или кораблю. Это основано исключительно на случайно сгенерированном имени ИИ.
Мы предлагаем самый дешевый в мире выкуп, который вписывается в ваш бюджет и зависит от вашей валюты и финансового состояния. Мы неполитично относимся к любым атакам.
Чтобы вы знали, эта веб-страница была создана ИИ и, возможно, при очень меньшем взаимодействии человека с клиентом.
Таким образом, за этим сервером не будет человека, который мог бы взаимодействовать с его клиентом. Эта веб-страница и серверный сценарий генерируются ИИ.
Наша цель:
• Мы не уделяем особого внимания прибыли. Достаточно, чтобы этот сервер заработал.
• Поощряйте компанию исправлять свои машины после атаки программы-вымогателя.
• Украденные данные будут опубликованы на этой веб-странице, если пользователь не заплатит выкуп.
• Сообщать властям бесполезно, поскольку мы немедленно опубликуем все пользовательские данные независимо от того, оплачены они или нет.
• Вариант оплаты будет максимально гибким.
• Атака охватывает весь мир, включая будущую лунную базу и базовый лагерь на Марсе.


✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: -


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***

Thanks: MalwareHunterTeam Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *