Если вы не видите здесь изображений, то используйте VPN.

воскресенье, 8 сентября 2024 г.

Trinity Locker

Trinity Locker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Trinity Locker Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями, чтобы узнать как заплатить выкуп, получить дешифровщик и вернуть файлы. Оригинальное название: Trinity Locker, указано в записке. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Gen:Variant.Doina.69600
ESET-NOD32 -> A Variant Of Win32/Filecoder.DeathRansom.E
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Trinity
Microsoft -> Ransom:Win32/Conti.IPA!MTB
Rising -> Malware.Undefined!8.C (TFE:5:d7Jqm9BdiXT)
Tencent -> Malware.Win32.Gencirc.10c03784
TrendMicro -> Ransom_Conti.R002C0DIH24
---

© Генеалогия: родство выясняется >> 
Trinity Locker


Сайт "ID Ransomware" это пока не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была в начале сентября 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .trinitylock

Записка с требованием выкупа называется: README.txt

Trinity Locker Ransomware note, записка о выкупе

Содержание записки о выкупе:
TRINITY LOCKER
We downloaded to our servers and encrypted all your databases and personal information!
to contact us
follow this link hxxx://trinitylock.io
follow the instructions on the website
or
download TOR
https://www.torproject.org/download/
follow this link hxxx://txtggyng5euqkyzl2knbejwpm4rlq575jn2egqldu27osbqytrj6ruyd.onion
follow the instructions on the website
if you're having trouble with TOR
e-mail helpdesk101@onionmail.com
IMPORTANT INFORMATION!
If you do not write to us within 24 hours, we will start publishing and selling your data on the darknet on hacker sites http://trinitylock.io/articles and offer the information to your competitors
Guarantee:If we don't provide you with a decryptor or delete your data after you pay,no one will pay us in the future. We value our reputation.
Guarantee key:To prove that the decryption key exists, we can test the file (not the database and backup) for free.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Don't go to recovery companies - they are essentially just middlemen.Decryption of your files with the help of third parties may cause increased price (they add their fee to our) we're the only ones who have the decryption keys.

Перевод записки на русский язык:
TRINITY LOCKER
Мы загрузили на наши серверы и зашифровали все ваши базы данных и личную информацию!
чтобы связаться с нами перейдите по этой ссылке hxxx://trinitylock.io
следуйте инструкциям на сайте
или загрузите TOR
https://www.torproject.org/download/
перейдите по этой ссылке hxxx://txtggyng5euqkyzl2knbejwpm4rlq575jn2egqldu27osbqytrj6ruyd.onion
следуйте инструкциям на сайте
если у вас возникли проблемы с TOR
напишите на helpdesk101@onionmail.com
ВАЖНАЯ ИНФОРМАЦИЯ!
Если вы не напишете нам в течение 24 часов, мы опубликуем и продадим ваши данные в даркнете на хакерских сайтах http://trinitylock.io/articles и предложим информацию вашим конкурентам
Гарантия: Если мы не предоставим вам дешифратор или не удалим ваши данные после оплаты, нам никто не заплатит в будущем. Мы дорожим своей репутацией.
Гарантия ключа: Чтобы доказать, что ключ дешифрования существует, мы можем бесплатно протестировать файл (не базу данных и резервную копию).
Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к безвозвратной потере данных.
Не обращайтесь в компании по восстановлению данных — по сути, они просто посредники. Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют свою комиссию к нашей), мы единственные, у кого есть ключи дешифрования.


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: 
hxxx://trinitylock.io
Tor-URL: hxxx://txtggyng5euqkyzl2knbejwpm4rlq575jn2egqldu27osbqytrj6ruyd.onion
Email: helpdesk101@onionmail.com
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Скриншоты с сайтов утечек:


Leakes site. Сайт утечек


Результаты анализов: 
IOC: VT, IA, TG, AR
MD5: 503c5ecd8f6c6238cd527f1d5db74ef7 
SHA-1: c6933bdd77e75018faa67aa691f08d228cfbe375 
SHA-256: 4cf1f88bf0d62936170599c4de4d6d0d72c0595ff9a109bee2d285d0e8b8416b 
Vhash: 055056655d1555612021z20e008c1z2021z2045z401001f5zf7z 
Imphash: e162d21b33035356f1d16365ff6bb80e


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Details + Message + Message Write-up, Topic of Support ***

Thanks: rivitna, quietman7 Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

воскресенье, 1 сентября 2024 г.

Dithyramb

Dithyramb Ransomware

Dithyramb Eduware-Ransomware

(шифровальщик-НЕ-вымогатель, тест-шифровальщик, обучатель) (первоисточник на русском)
Translation into English


Dithyramb Ransomware


Этот шифровальщик шифрует данные с помощью XOR 0xAA, а затем оставляет картинку с контактом на github.com. Оригинальное название: Dithyramb. Написан на языке C++. На файле написано: Dithyramb.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.40919, Trojan.Encoder.41022
BitDefender -> Trojan.GenericKD.73883182, Trojan.GenericKD.74112565
ESET-NOD32 -> A Variant Of Win32/Filecoder.ORJ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen
Malwarebytes -> Ransom.FileCryptor, Ransom.Dithyramb
Microsoft -> Ransom:Win32/Dirthy.YAB!MTB
Rising -> Ransom.Encoder!8.FFD4, Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.10c03643, Malware.Win32.Gencirc.10c04437
TrendMicro -> Ransom_Dirthy.R06BC0DIJ24, Ransom_Dirthy.R053C0DIJ24
---

© Генеалогия: родство выясняется >> 
Dithyramb 


Сайт "ID Ransomware" это пока не идентифицирует. 


Информация для идентификации

Образец этого крипто-вымогателя был обнаружен в первой половине сентября 2024 г. Разработан Bento для анализа и обучения. Опубликован 20 августа 2024. 

К зашифрованным файлам добавляется расширение: *нет данных*.

Записка с требованием выкупа называется: *нет данных*.

Содержание записки о выкупе: *нет данных*.

Онлайн загружается следующая картинка. 


Адрес на картинке: hxxxs://github.com/brentlyw/
Вероятно, для связи с разработчиком, если вдруг файлы зашифровались. 


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 




Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
background.png - изображение, заменяющее обои Рабочего стола; 
Untitled.png -  - изображение, загружаемое онлайн; 
Dithyramb.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Temp\background.png
C:\Users\User\Desktop\Dithyramb.exe

Записи реестра, связанные с этим Ransomware:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\Dithyramb.exe
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: hxxxs://github.com/Brentlyw/Dithyramb/
URL картинки: hxxxs://i.ibb.co/LPx4Wxt/Untitled.png
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, IA, TG, AR
MD5: be218fb27c5c0611e1c87d065c8d3efd 
SHA-1: 95df86a58ca5efdd004b7215200e9f38eaf60442  
SHA-256: 20d41bf0390ce8a97ac766cc11efafc7d500d06eac463a344cfa8357f439db7c  
Vhash: 025056655d1d056az547z17z1lz 
Imphash: efefe29abfceb37a526a344d3729b912
---
IOC: VTIA, TG, AR
MD5: 3a6bd191fbfb09fa1cde900dd2582cd7 
SHA-1: 5d741d7fba5ec55e9772c60e20d24e1b190b6b62 
SHA-256: 4819505b3e74d9814a049fe9bbb13460d4abf5ddbb19d453fbd512c6041fcaf1 
Vhash: 025046655d156az517z17z11z101fz 
Imphash: caf2c5017bf22286c9026b6c44330cd0



Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***

Thanks: S!Ri Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

четверг, 22 августа 2024 г.

S3P4ND, Sepand

S3P4ND Ransomware

Sepand Ransomware

3pand Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


S3P4ND Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп 
$150 в LTC, BTC, ETH, чтобы вернуть файлы. Оригинальное название: S3P4ND, Sepand. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.40960
BitDefender -> Generic.Ransom.Snatch.D535AF0E
ESET-NOD32 -> A Variant Of WinGo/Filecoder.HQ
Kaspersky -> Trojan-Ransom.Win32.Gen.baip
Malwarebytes -> Ransom.S3P4ND
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> ***
Tencent -> Win32.Trojan-Ransom.Gen.Qgil
TrendMicro -> TROJ_GEN.R002H09HM24
---

© Генеалогия: родство выясняется >>


Сайт "ID Ransomware" это пока не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .3pand


Записка с требованием выкупа называется: Readme%d.txt

Записка с требованием выкупа написана на изображениях вымогателей.   




Содержание записки о выкупе:

Hello! I am Sepand, the creator of 3pand ransomware
Your system files are encrypted by us and you need to pay $150 to get the decrypted file
Otherwise, your files will be lost in the next 48 hours!
After paying, send your receipt and identification code to me in Telegram so that I can send you the decryption file!
[+] Ltc: ltc1qvhsqhfmvf0a40gw0j7kcm98kslq9dsr3aggzzs
[+] Btc: bc1qecjc0cf8vqhh4e2vt7twjpwc3zfn0348wghvng
[+] Eth: 0x02fa67fF0e3f1F4E178d9C675dE198298E90A4c8
Your identification code:%s Goodbye!

Перевод записки на русский язык:
Привет! Я Sepand, создатель 3pand ransomware
Ваши системные файлы зашифрованы нами, и вам нужно заплатить $150, чтобы получить расшифрованный файл
Иначе ваши файлы будут потеряны в течение следующих 48 часов!
После оплаты отправьте мне в Telegram чек и идентификационный код, чтобы я мог отправить вам файл расшифровки!
***

Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Readme%d.txt - название файла с требованием выкупа;
dMLeE9s.md.jpg - картинка от вымогателей; 
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Онлайн-изображение: hxxxs://iili.io/dMLeE9s.md.jpg
Email: - 
Telegram: @S3P4ND
LTC: ltc1qvhsqhfmvf0a40gw0j7kcm98kslq9dsr3aggzzs
BTC: bc1qecjc0cf8vqhh4e2vt7twjpwc3zfn0348wghvng
ETH: 0x02fa67fF0e3f1F4E178d9C675dE198298E90A4c8
 
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, IA, TG
MD5: d3be0632c8753383b9946f82681f96ab 
SHA-1: 21770bdd77adff4062f92b883b349b579880dac7 
SHA-256: 6479d7ae4a73d87e6cc2e2ec576f6252580e180429fb641c874e4fbe969e04d5 
Vhash: 0860d6655d55557575157az27!z 
Imphash: 9cbefe68f395e67356e2a5d8d1b285c0


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***

Thanks: S!Ri Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

понедельник, 19 августа 2024 г.

Lockton, LockTon

Lockton Ransomware

LockTon Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Lockton Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп в # Monero, чтобы вернуть файлы. Оригинальное название: Lockton Ransomware. На файле написано: нет данных. Для систем на базе Linux/UNIX.
---
Обнаружения:
DrWeb -> Linux.Encoder.454
BitDefender -> Trojan.Linux.Generic.382047
ESET-NOD32 -> A Variant Of Linux/Filecoder.Lockton.A
Kaspersky -> HEUR:Trojan-Ransom.Linux.Agent.lctn
Microsoft -> Ransom:Linux/Lockton.A!MTB
Rising -> Ransom.Lockton/Linux!8.1B442 (CLOUD)
Symantec -> Linux.Trojan
Tencent -> Linux.Trojan-Ransom.Encoder.Ocnw
TrendMicro -> Ransom.Linux.CLOKTON.THHBHBD
---

© Генеалогия: родство выясняется >> 
Lockton


Сайт "ID Ransomware" это пока не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: *нет данных*.
Фактически используется составное расширение по шаблону: 

Записка с требованием выкупа называется: 
*нет данных*. 

Lockton Ransomware


Содержание записки о выкупе:
Your files have been encrypted. To recover them, please follow the instructions below. DO NOT CLOSE THIS WINDOW OR P
OWER OFF YOUR DEVICE!
IF YOU DO SO YOU WILL BE UNABLE TO RECOVER YOUR FILES!
1. Download the official Monero wallet from getmonero.org.
2. Purchase *** USD worth of Monero and send it to the following Monero address: ***
3. After sending the payment, download Dino XMPP and send the ransom payment transaction ID to the following XMPP.
***
4. After we verify you have paid your ransom, we will respond to your message with the decryption key.
5. Use the decryption key to recover your encrypted files below.

Перевод записки на русский язык:
Ваши файлы зашифрованы. Чтобы восстановить их, следуйте инструкциям ниже. НЕ ЗАКРЫВАЙТЕ ЭТО ОКНО И НЕ ВЫКЛЮЧАЙТЕ ВАШЕ УСТРОЙСТВО!
ЕСЛИ ВЫ ЭТО СДЕЛАЕТЕ, ВЫ НЕ СМОЖЕТЕ ВОССТАНОВИТЬ СВОИ ФАЙЛЫ!
1. Загрузите официальный кошелек Monero с getmonero.org.
2. Купите Monero на сумму *** USD и отправьте ее на следующий адрес Monero: ***
3. После отправки платежа загрузите Dino XMPP и отправьте идентификатор транзакции по выплате выкупа на следующий XMPP.
***
4. После того, как мы убедимся, что вы заплатили выкуп, мы ответим на ваше сообщение с ключом дешифрования.
5. Используйте ключ дешифрования, чтобы вернуть ваши зашифрованные файлы ниже.


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
encryptedfiles.txt  список зашифрованных файлов; 
cf37b3caea9b8f6bf3297f2d9c562703ad0eb4f6a27df9b105bd7c9aa9ca95ee.elf - вредоносный файл.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, IA, TG
MD5: 741d5a62b3fb1d8af982adce1bd34c04 
SHA-1: ae046000803108dcadc0ab4759c81deb07cd5a4d 
SHA-256: cf37b3caea9b8f6bf3297f2d9c562703ad0eb4f6a27df9b105bd7c9aa9ca95ee 
Vhash: b091e0f7108234e342a1de2cc9b04952


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***

Thanks: MalGamy12, S!Ri, petik Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

воскресенье, 28 июля 2024 г.

Lynx

Lynx Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Lynx Ransomware logo

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.40772
BitDefender -> Gen:Heur.Ransom.Imps.1
ESET-NOD32 -> A Variant Of Win32/Filecoder.IncRansom.A
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen
Malwarebytes -> Generic.Malware/Suspicious
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.IncRansom!8.190AD (CLOUD)
Tencent -> Malware.Win32.Gencirc.10c0227e
TrendMicro -> Ransom.Win32.LYNXRANSOM.THGBIBD
---

© Генеалогия: INC Ransom >> 
LYNX


Сайт "ID Ransomware" идентифицирует это как Lynx со 2 августа 2024. 



Информация для идентификации

Активность этого крипто-вымогателя была в конце июля - начале августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .LYNX


Записка с требованием выкупа называется: README.txt

Lynx Ransomware note, записка о выкупе

Содержание записки о выкупе:
Your data is stolen and encrypted.
Your unique identificator is ***
Use this TOR site to contact with us:
hxxx://lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd.onion/login
Use this email to contact with us:
martina.lestariid1898@proton.me
Our blog
 ~ TOR Network: hxxx://lynxbllrfr5262yvbgtqoyq76s7mpztcqkv6tjjxgpilpma7nyoeohyd.onion/disclosures
 ~ Mirror #1: hxxx://lynxblog.net/

Перевод записки на русский язык:
Ваши данные украдены и зашифрованы.
Ваш уникальный идентификатор — ***
Используйте этот сайт TOR для связи с нами:
hxxx://lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd.onion/login
Используйте этот email-адрес для связи с нами:
martina.lestariid1898@proton.me
Наш блог
~ Сеть TOR: hxxx://lynxbllrfr5262yvbgtqoyq76s7mpztcqkv6tjjxgpilpma7nyoeohyd.onion/disclosures
~ Зеркало № 1: hxxx://lynxblog.net/


Записка с контактами и требованием посетить сайт вымогателей дублируется в изображении, заменяющем обои Рабочего стола. 






Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 




Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Маркер файлов:
LYNX



Сетевые подключения и связи:
URL: hxxx://lynxblog.net/
Tor-URL: hxxx://lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd.onion/login
Email: martina.lestariid1898@proton.me
BTC: -
См. ниже в обновлениях другие адреса и контакты. 







Результаты анализов: 
IOC: VT, IA, TG, AR, VMR, JSB
MD5: 7e851829ee37bc0cf65a268d1d1baa7a 
SHA-1: 672553c79db2a3859a8ea216804d4ff8d2ded538 
SHA-256: eaa0e773eb593b0046452f420b6db8a47178c09e6db0fa68f6a2d42c3f48e3bc 
Vhash: 015056655d15556143z10c0067hz23z5fz 
Imphash: b236e3a7e5fec7df716fb0039d0fca72
---
Другие образцы: 
0dde63515fa44d0f899ef011348cd730
710c6fe533f197f4c793b234ad369b7e
0d7b54bda9ebee77bed1dbf8d90561e3
1f2dfc5f4900aa5efef24857f94bd8cb


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

INC Ransom Ransomware - июль-ноябрь 2023
LYNC Ransomware - с июля 2024



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***

Thanks: *** Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *