WastedLocker Ransomware
Alieases: Wasted, Launchy, BinADS, BinLocker
Variants: Easy2lock, Hades, SecCrypt, Phoenix Cryptolocker, PayloadBin, Macaw
(шифровальщик-вымогатель) (первоисточник на русском)
Translation into English
Этот крипто-вымогатель шифрует данные компаний, бизнес-пользователей, содержимое их сайтов и серверов с помощью AES-256 (режим CBC) + RSA-4096, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название в записке не указано, а на файле написано: Launchy и Launchy.exe. Подписан сертификатами X509. В других вариантах может быть что-то другое. Используется только в целевых атаках на организации и предприятия. Разработка группы Evil Corp (Indrik Spider), которую зарубежные исследователи считают российской или пророссийской.
---
Для справки:
Ранее группу Evil Corp (Indrik Spider) США обвинили в разработке и распространении вредоносной программы Dridex, предназначенной для заражения компьютеров банков и компаний более чем в 40 странах, заочно осудили и наложили санкции на всех перечисленных. Спустя неделю оказалось, что часть информации недостоверна и из санкционного списка можно смело исключить некоторые российские компании и несколько человек. Написание некоторых фамилий "обвиненных" искажены и могут относиться к вымышленным лицам. Более того, найдено немало вбросов со стороны украинских и антироссийских СМИ, которые усиленно муссируют недостоверную информацию. Сколько недостоверностей мы ещё узнаем и как можно верить заказным и муссированным "расследованиям" с картинками из социальных сетей?
... Управление по контролю за иностранными активами Министерства финансов США (OFAC) наложило санкции на членов кибергруппировки Evil Corp в декабре 2019 года после того, как им было предъявлено обвинение в использовании Dridex для причинения финансового ущерба в более 100 миллионов долларов. Теперь пострадавшие компании и организации, которые решат заплатить выкуп вымогателям, а также финансовые учреждения, фирмы киберстрахования и даже компании, занимающиеся цифровой криминалистикой и реагированием на инциденты, фактически рискуют нарушить правила OFAC и тоже попасть под финансовые санкции.
... Согласно закону и постановлению о санкциях, администрируемых OFAC, эта самая OFAC может налагать гражданско-правовые санкции за нарушение санкций на основе строгой ответственности, т.е. лицо, подпадающее под юрисдикцию США, может быть привлечено к гражданской ответственности, даже если оно не знало или не имело оснований знать, что оно совершает транзакцию с лицом, которое находится под запретом. Cсылка на статью >>
... Чтобы обойти санкции OFAC и получать выкуп от вымогательства Evil Corp выпустили измененные версии на основе WastedLocker. Таким образом, пока их связь с новыми вариантами крипто-вымогателя не расследована и не подтверждена, а санкции не расширены, новые варианты криптовымогателя WastedLocker способствуют выкупному финансированию Evil Corp.
---
Обнаружения: DrWeb -> Trojan.Encoder.31904, Trojan.Encoder.31951, Trojan.Encoder.32261, Trojan.Encoder.32802, Trojan.Encoder.32876
ALYac -> Trojan.Ransom.WastedLocker
Avast/AVG -> Win32:DangerousSig [Trj]
Avira (no cloud) -> TR/Crypt.Agent.dsidt, TR/Crypt.Agent.ujiiq
BitDefender -> Gen:Variant.Fugrafa.45363, Trojan.GenericKD.34029721
ESET-NOD32 -> A Variant Of Win32/Kryptik.HDVS, Win32/Filecoder.WastedLocker.A
Kaspersky -> HEUR:Backdoor.Win32.Mokes.vho
Malwarebytes -> Ransom.BinADS
McAfee -> GenericRXKY-IH!13E623CDFB75
Microsoft -> Trojan:Win32/Gozi.RA!MTB, Trojan:Win32/Ymacco.AA5C
Qihoo-360 -> Win32/Backdoor.588, Win32/Trojan.236
Rising -> Backdoor.Mokes!8.619 (CLOUD), Spyware.Ursnif!8.1DEF (CLOUD)
Symantec -> Ransom.WastedLocker
TrendMicro -> TrojanSpy.Win32.QAKBOT.SMTHA.hp, Ransom.Win32.WASTEDLOCKER.AA
VBA32 -> BScope.Malware-Cryptor.Hlux, BScope.TrojanRansom.Shade
---
© Генеалогия: IEncrypt, Bitpaymer или другой из предыдущих >> WastedLocker > Hades и другие
К зашифрованным файлам добавляется расширение по шаблону:
.<abbreviated_company_name>wasted
.<org_name>wasted
Таким образом, используется сокращенное название компании или организации (аббревиатура), например,
от "Email Server" сокращение будет ES, а расширение .eswasted
от "BBA" сокращение будет BBA, а расширение .bbawasted
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.
Ранняя активность этого крипто-вымогателя пришлась на вторую половину мая и первую половину июня 2020 г. Штамп даты на разных файлах: 15 апреля, 16, 26, 29, 31 мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Проанализированные образцы в основном принадлежат крупным организациям и компаниям из США.
Записка с требованием выкупа называется по шаблону encrypted_file_info и создается для каждого зашифрованного файла.
Записка не имеет расширения .txt, но открыть её можно с помощью Блокнота.
Таким образом:
1.jpg.eswasted - зашифрованный файл в нашем примере
1.jpg.eswasted_info - записка для зашифрованного файла
Содержание записки о выкупе:
***
YOUR NETWORK IS ENCRYPTED NOW
USE *****@PROTONMAIL. COM | *****@TUTANOTA.COM TO GET THE PRICE FOR YOUR DATA
DO NOT GIVE THIS EMAIL TO 3RD PARTIES
DO NOT RENAME OR MOVE THE FILE
THE FILE IS ENCRYPTED WITH THE FOLLOWING KEY:
[begin_key]***
***[end_key]
KEEP IT
Перевод записки на русский язык:
***
ВАША СЕТЬ СЕЙЧАС ЗАШИФРОВАНА
ИСПОЛЬЗУЙТЕ *****@PROTONMAIL.CОМ | *****@TUTANOTA.COM, ЧТОБЫ ПОЛУЧИТЬ ЦЕНУ НА ВАШИ ДАННЫЕ
НЕ ПЕРЕДАВАЙТЕ ЭТИ EMAIL ТРЕТЬИМ ЛИЦАМ
НЕ ПЕРЕИМЕНОВЫВАЙТЕ И НЕ ПЕРЕМЕЩАЙТЕ ФАЙЛ
ФАЙЛ ЗАШИФРОВАН СЛЕДУЮЩИМ КЛЮЧОМ:
[begin_key]***
***[end_key]
СОХРАНИТЕ ЭТО
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ WastedLocker использует документированный метод обхода UAC. После запуска он выбирает случайный файл (EXE или DLL) в папке C:\Windows\System32, копирует его в папку %APPDATA% под другим скрытым именем файла без расширения. Затем он создает альтернативный поток данных (ADS), прикрепляет его к bin-файлу, копирует в него исполняемый файл шифровальщика и выполняет. Затем WastedLocker копирует winsat.exe и winmm.dll во вновь созданную папку, расположенную в Temp-папке Windows. После загрузки перехваченная DLL (winmm.dll) исправляется для выполнения вышеупомянутых ADS.
Например, берет имя от файла Pn.exe из системной папки и выполняет Pn:bin в папке %AppData%.
Полный путь файлов из примера:
C:\Windows\SysWOW64\Pn.exe
C:\Users\Admin\AppData\Roaming\Pn:bin
➤ WastedLocker использует "RSAREF" - общедоступную эталонную реализацию RSA-алгоритма.
Avast/AVG -> Win32:DangerousSig [Trj]
Avira (no cloud) -> TR/Crypt.Agent.dsidt, TR/Crypt.Agent.ujiiq
BitDefender -> Gen:Variant.Fugrafa.45363, Trojan.GenericKD.34029721
ESET-NOD32 -> A Variant Of Win32/Kryptik.HDVS, Win32/Filecoder.WastedLocker.A
Kaspersky -> HEUR:Backdoor.Win32.Mokes.vho
Malwarebytes -> Ransom.BinADS
McAfee -> GenericRXKY-IH!13E623CDFB75
Microsoft -> Trojan:Win32/Gozi.RA!MTB, Trojan:Win32/Ymacco.AA5C
Qihoo-360 -> Win32/Backdoor.588, Win32/Trojan.236
Rising -> Backdoor.Mokes!8.619 (CLOUD), Spyware.Ursnif!8.1DEF (CLOUD)
Symantec -> Ransom.WastedLocker
TrendMicro -> TrojanSpy.Win32.QAKBOT.SMTHA.hp, Ransom.Win32.WASTEDLOCKER.AA
VBA32 -> BScope.Malware-Cryptor.Hlux, BScope.TrojanRansom.Shade
---
© Генеалогия: IEncrypt, Bitpaymer или другой из предыдущих >> WastedLocker > Hades и другие
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение по шаблону:
.<abbreviated_company_name>wasted
.<org_name>wasted
Таким образом, используется сокращенное название компании или организации (аббревиатура), например,
от "Email Server" сокращение будет ES, а расширение .eswasted
от "BBA" сокращение будет BBA, а расширение .bbawasted
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Ранняя активность этого крипто-вымогателя пришлась на вторую половину мая и первую половину июня 2020 г. Штамп даты на разных файлах: 15 апреля, 16, 26, 29, 31 мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Проанализированные образцы в основном принадлежат крупным организациям и компаниям из США.
Записка с требованием выкупа называется по шаблону encrypted_file_info и создается для каждого зашифрованного файла.
Записка не имеет расширения .txt, но открыть её можно с помощью Блокнота.
Таким образом:
1.jpg.eswasted - зашифрованный файл в нашем примере
1.jpg.eswasted_info - записка для зашифрованного файла
Содержание записки о выкупе:
***
YOUR NETWORK IS ENCRYPTED NOW
USE *****@PROTONMAIL. COM | *****@TUTANOTA.COM TO GET THE PRICE FOR YOUR DATA
DO NOT GIVE THIS EMAIL TO 3RD PARTIES
DO NOT RENAME OR MOVE THE FILE
THE FILE IS ENCRYPTED WITH THE FOLLOWING KEY:
[begin_key]***
***[end_key]
KEEP IT
Перевод записки на русский язык:
***
ВАША СЕТЬ СЕЙЧАС ЗАШИФРОВАНА
ИСПОЛЬЗУЙТЕ *****@PROTONMAIL.CОМ | *****@TUTANOTA.COM, ЧТОБЫ ПОЛУЧИТЬ ЦЕНУ НА ВАШИ ДАННЫЕ
НЕ ПЕРЕДАВАЙТЕ ЭТИ EMAIL ТРЕТЬИМ ЛИЦАМ
НЕ ПЕРЕИМЕНОВЫВАЙТЕ И НЕ ПЕРЕМЕЩАЙТЕ ФАЙЛ
ФАЙЛ ЗАШИФРОВАН СЛЕДУЮЩИМ КЛЮЧОМ:
[begin_key]***
***[end_key]
СОХРАНИТЕ ЭТО
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ WastedLocker использует документированный метод обхода UAC. После запуска он выбирает случайный файл (EXE или DLL) в папке C:\Windows\System32, копирует его в папку %APPDATA% под другим скрытым именем файла без расширения. Затем он создает альтернативный поток данных (ADS), прикрепляет его к bin-файлу, копирует в него исполняемый файл шифровальщика и выполняет. Затем WastedLocker копирует winsat.exe и winmm.dll во вновь созданную папку, расположенную в Temp-папке Windows. После загрузки перехваченная DLL (winmm.dll) исправляется для выполнения вышеупомянутых ADS.
Например, берет имя от файла Pn.exe из системной папки и выполняет Pn:bin в папке %AppData%.
Полный путь файлов из примера:
C:\Windows\SysWOW64\Pn.exe
C:\Users\Admin\AppData\Roaming\Pn:bin
➤ WastedLocker использует "RSAREF" - общедоступную эталонную реализацию RSA-алгоритма.
➤ Ключ AES, IV, хэш MD5 исходного содержимого, а также некоторая вспомогательная информация зашифрованы с помощью открытого ключа RSA, встроенного в тело шифровальщика.
➤ Подробности шифрования:
После выполнения Wasted Locker пытается зашифровать файлы на всех найденных дисках, пропуская файлы в определенных папках и с определёнными расширениями. Каждый файл шифруется с использованием алгоритма AES с вновь сгенерированным ключом AES и IV (256-бит в режиме CBC) для каждого файла. Ключ AES и IV шифруются с помощью встроенного открытого ключа RSA (4096 бит). Полученный результат преобразуется в base64 и затем сохраняется в записке с требованием выкупа.
➤ Предпринимает попытки отключить средства защиты, такие как Symantec Endpoint Protection, Защитник Windows и Cisco AMP для конечных точек.
➤ Удаляет теневые копии файлов, получает права владельца каталогов с файлами и управляет ими. Это видно на примере следующих процессов, в том числе и на скриншоте.
⏩ Созданные процессы:
C:\Users\<USER>\AppData\Roaming\Still:bin -r
C:\Windows\system32\vssadmin.exe Delete Shadows /All /Quiet
C:\Windows\system32\takeown.exe /F C:\Windows\system32\Still.exe
C:\Windows\system32\icacls.exe C:\Windows\system32\Still.exe /reset
C:\Users\<USER>\AppData\Roaming\Service:bin -r
⏩ Завершенные процессы:
C:\Windows\system32\vssadmin.exe Delete Shadows /All /Quiet
C:\Windows\system32\takeown.exe /F C:\Windows\system32\Still.exe
C:\Windows\system32\icacls.exe C:\Windows\system32\Still.exe /reset
➤ WastedLocker использует Windows Cache Manager (диспетчер кэша), чтобы избежать обнаружения. Если подробнее, то ОС Windows, чтобы повысить производительность часто используемые файлы или файлы, указанные приложением, считывает и сохраняет в кэше Windows, который использует системную память. Если программе требуется доступ к файлу, ОС проверит, находится ли он в кэше, и, если это так, загрузит его оттуда. Поскольку данные кэшируются в памяти, доступ к их содержимому намного быстрее, чем при чтении с диска.
WastedLocker, чтобы обойти обнаружение средствами защиты от программ-вымогателей, использует Windows Cache Manager, который открывает файл, считывает его в диспетчер кэша Windows, а затем закрывает исходный файл. Так как данные после этой процедуры хранятся в диспетчере кэша, WastedLocker будет шифровать содержимое файла, хранящегося в кэше, а не файл, хранящийся в файловой системе.
Когда содержимое файла, хранящегося в кэше Windows, изменяется, оно становится "грязным". Когда будет достаточно данных "загрязнено", диспетчер кэша запишет зашифрованные кэшированные данные обратно в их исходные файлы. Поскольку диспетчер кэша работает как системный процесс, программа безопасности будет видеть запись зашифрованных данных из разрешенного и легитимного процесса Windows. Из-за этого поведенческое обнаружение в защитном программном обеспечении увидит разрешенный процесс записи зашифрованных данных и не обнаруживает подозрительные действия. Подробнее см. в статье >>
Список файловых расширений, подвергающихся шифрованию:
Вместо списка целевых расширения WastedLocker использует список каталогов и расширений, которые нужно исключить из процесса шифрования. Файлы размером менее 10 байт также игнорируются, а большие файлы шифрует блоками по 64Мб. Наверняка будут зашифрованы документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Пропускаемые расширения:
.<abbreviated_company_name>wasted
.386, .adv, .ani, .bak, .bat, .bin, .cab, .cmd, .com, .cpl, .cur, .dat, .diagcab, .diagcfg, .dll, .drv, .exe, .hlp, .hta, .icl, .icns, .ics, .idx, .ini, .key, .lnk, .mod, .msc, .msi, .msp, .msstyles, .msu, .nls, .nomedia, .ocx, .ps1, .rom, .rtp, .scr, .sdi, .shs, .sys, .theme, .themepack, .wim, .wpx
Пропускаемые директории (папки):
\$recycle.bin
\appdata
\bin
\boot
\caches
\dev
\etc
\initdr
\lib
\programdata
\run
\sbin
\sys
\system volume information
\users\all users
\var
\vmlinuz
\webcache
\windowsapps
c:\program files (x86)
c:\program files
c:\programdata
c:\recovery
c:\users\%USERNAME%\appdata\local\temp
c:\users\%USERNAME%\appdata\roaming
c:\windows
Пропускаемые файлы:
encrypted_file_info
bootmgr
grldr
ntldr
Файлы, связанные с этим Ransomware:
encrypted_file_info - название файла с требованием выкупа
%AppData%\Lsa:bin - пример созданного процесса
%AppData%\Pin:bin - пример созданного процесса
lck.log - файл журнала
aa05e7a187ddec2e11fc1c9eafe61408d085b0ab6cd12caeaf531c9dca129772.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: *****@PROTONMAIL. COM
*****@TUTANOTA.COM
*****@ECLIPSO.CH
За "*****" находятся 5 цифр, в каждой записке они разные
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
➤ Коллекция ссылок на образцы, помеченные разной датой выпуска:
Creation Time: 2020-04-15 (15 апреля): VT + VMR + HA + IA + TG
Creation Time: 2020-05-16 (16 мая): VT + VMR + HA
Creation Time: 2020-05-26 (26 мая): VT + VMR + HA
Creation Time: 2020-05-29 (29 мая): VT + VMR + IA
Creation Time: 2020-06-11 (11 июня): VT + VMR + AR + IA + TG
➤ Коллекция ссылок на образцы и анализы на сайте Intezer Analyze:
➤ Подробности шифрования:
После выполнения Wasted Locker пытается зашифровать файлы на всех найденных дисках, пропуская файлы в определенных папках и с определёнными расширениями. Каждый файл шифруется с использованием алгоритма AES с вновь сгенерированным ключом AES и IV (256-бит в режиме CBC) для каждого файла. Ключ AES и IV шифруются с помощью встроенного открытого ключа RSA (4096 бит). Полученный результат преобразуется в base64 и затем сохраняется в записке с требованием выкупа.
➤ Предпринимает попытки отключить средства защиты, такие как Symantec Endpoint Protection, Защитник Windows и Cisco AMP для конечных точек.
➤ Удаляет теневые копии файлов, получает права владельца каталогов с файлами и управляет ими. Это видно на примере следующих процессов, в том числе и на скриншоте.
⏩ Созданные процессы:
C:\Users\<USER>\AppData\Roaming\Still:bin -r
C:\Windows\system32\vssadmin.exe Delete Shadows /All /Quiet
C:\Windows\system32\takeown.exe /F C:\Windows\system32\Still.exe
C:\Windows\system32\icacls.exe C:\Windows\system32\Still.exe /reset
C:\Users\<USER>\AppData\Roaming\Service:bin -r
⏩ Завершенные процессы:
C:\Windows\system32\vssadmin.exe Delete Shadows /All /Quiet
C:\Windows\system32\takeown.exe /F C:\Windows\system32\Still.exe
C:\Windows\system32\icacls.exe C:\Windows\system32\Still.exe /reset
➤ WastedLocker использует Windows Cache Manager (диспетчер кэша), чтобы избежать обнаружения. Если подробнее, то ОС Windows, чтобы повысить производительность часто используемые файлы или файлы, указанные приложением, считывает и сохраняет в кэше Windows, который использует системную память. Если программе требуется доступ к файлу, ОС проверит, находится ли он в кэше, и, если это так, загрузит его оттуда. Поскольку данные кэшируются в памяти, доступ к их содержимому намного быстрее, чем при чтении с диска.
WastedLocker, чтобы обойти обнаружение средствами защиты от программ-вымогателей, использует Windows Cache Manager, который открывает файл, считывает его в диспетчер кэша Windows, а затем закрывает исходный файл. Так как данные после этой процедуры хранятся в диспетчере кэша, WastedLocker будет шифровать содержимое файла, хранящегося в кэше, а не файл, хранящийся в файловой системе.
Когда содержимое файла, хранящегося в кэше Windows, изменяется, оно становится "грязным". Когда будет достаточно данных "загрязнено", диспетчер кэша запишет зашифрованные кэшированные данные обратно в их исходные файлы. Поскольку диспетчер кэша работает как системный процесс, программа безопасности будет видеть запись зашифрованных данных из разрешенного и легитимного процесса Windows. Из-за этого поведенческое обнаружение в защитном программном обеспечении увидит разрешенный процесс записи зашифрованных данных и не обнаруживает подозрительные действия. Подробнее см. в статье >>
Список файловых расширений, подвергающихся шифрованию:
Вместо списка целевых расширения WastedLocker использует список каталогов и расширений, которые нужно исключить из процесса шифрования. Файлы размером менее 10 байт также игнорируются, а большие файлы шифрует блоками по 64Мб. Наверняка будут зашифрованы документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Пропускаемые расширения:
.<abbreviated_company_name>wasted
.386, .adv, .ani, .bak, .bat, .bin, .cab, .cmd, .com, .cpl, .cur, .dat, .diagcab, .diagcfg, .dll, .drv, .exe, .hlp, .hta, .icl, .icns, .ics, .idx, .ini, .key, .lnk, .mod, .msc, .msi, .msp, .msstyles, .msu, .nls, .nomedia, .ocx, .ps1, .rom, .rtp, .scr, .sdi, .shs, .sys, .theme, .themepack, .wim, .wpx
Пропускаемые директории (папки):
\$recycle.bin
\appdata
\bin
\boot
\caches
\dev
\etc
\initdr
\lib
\programdata
\run
\sbin
\sys
\system volume information
\users\all users
\var
\vmlinuz
\webcache
\windowsapps
c:\program files (x86)
c:\program files
c:\programdata
c:\recovery
c:\users\%USERNAME%\appdata\local\temp
c:\users\%USERNAME%\appdata\roaming
c:\windows
Пропускаемые файлы:
encrypted_file_info
bootmgr
grldr
ntldr
Файлы, связанные с этим Ransomware:
encrypted_file_info - название файла с требованием выкупа
%AppData%\Lsa:bin - пример созданного процесса
%AppData%\Pin:bin - пример созданного процесса
lck.log - файл журнала
aa05e7a187ddec2e11fc1c9eafe61408d085b0ab6cd12caeaf531c9dca129772.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: *****@PROTONMAIL. COM
*****@TUTANOTA.COM
*****@ECLIPSO.CH
За "*****" находятся 5 цифр, в каждой записке они разные
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
Bitpaymer Ransomware - июль 2017
IEncrypt Ransomware - ноябрь 2018
WastedLocker Ransomware - июня 2020
Hades Ransomware - декабрь 2020
Phoenix Cryptolocker - март 2021
PayloadBin Ransomware - июнь 2021
и другие
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
➤ Коллекция ссылок на образцы, помеченные разной датой выпуска:
Creation Time: 2020-04-15 (15 апреля): VT + VMR + HA + IA + TG
Creation Time: 2020-05-16 (16 мая): VT + VMR + HA
Creation Time: 2020-05-26 (26 мая): VT + VMR + HA
Creation Time: 2020-05-29 (29 мая): VT + VMR + IA
Creation Time: 2020-06-11 (11 июня): VT + VMR + AR + IA + TG
➤ Коллекция ссылок на образцы и анализы на сайте Intezer Analyze:
Общая ссылка: IA (5 образцов).
Вариант от 24 июля 2020:
Сообщение >>
Статья на сайте BC >>
Вариант от 24 июля 2020:
Сообщение >>
Статья на сайте BC >>
Расширение .garminwasted
Записка-шаблон: <filename>.garminwasted_info
Записка-пример для файла Image_2020.jpg: Image_2020.jpg.garminwasted_info
Файл EXE: Hivelist.exe
Результаты нализов: VT + HA + IA + IA + AR + TG + VMR + JSB
➤ Обнаружения:
DrWeb -> Trojan.Encoder.32185
ALYac -> Trojan.Ransom.WastedLocker
BitDefender -> Trojan.GenericKD.43531595
ESET-NOD32 -> Win32/Filecoder.WastedLocker.A
McAfee -> Packed-GCI!2CC4534B0DD0
Microsoft -> Ransom:Win32/Garmin.SK!MTB
Rising -> Ransom.Garmin!8.11E81 (CLOUD)
Symantec -> Downloader
TrendMicro -> Ransom.Win32.WASTEDLOCKER.THGBGBO
---
Файл и поток:
C:\Users\User\AppData\Roaming\Arbiter:bin
C:\Windows\SysWOW64\Arbiter.exe
---
Команда:
cmd /c choice /t 10 /d y & attrib -h "C:\Users\admin\AppData\Roaming\Port" & del "C:\Users\admin\AppData\Roaming\Port"
---
Видеообзор этого варианта.
Вариант от 25 марта 2021:
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Записка-шаблон: <filename>.garminwasted_info
Записка-пример для файла Image_2020.jpg: Image_2020.jpg.garminwasted_info
Результаты нализов: VT + HA + IA + IA + AR + TG + VMR + JSB
➤ Обнаружения:
DrWeb -> Trojan.Encoder.32185
ALYac -> Trojan.Ransom.WastedLocker
BitDefender -> Trojan.GenericKD.43531595
ESET-NOD32 -> Win32/Filecoder.WastedLocker.A
McAfee -> Packed-GCI!2CC4534B0DD0
Microsoft -> Ransom:Win32/Garmin.SK!MTB
Rising -> Ransom.Garmin!8.11E81 (CLOUD)
Symantec -> Downloader
TrendMicro -> Ransom.Win32.WASTEDLOCKER.THGBGBO
---
Файл и поток:
C:\Users\User\AppData\Roaming\Arbiter:bin
C:\Windows\SysWOW64\Arbiter.exe
Команда:
cmd /c choice /t 10 /d y & attrib -h "C:\Users\admin\AppData\Roaming\Port" & del "C:\Users\admin\AppData\Roaming\Port"
---
Вариант от 30 июля 2020:
Расширение: .bbawasted
Результаты нализов: VT
➤ Обнаружения:
DrWeb -> Trojan.Encoder.32261
ALYac -> Trojan.Ransom.WastedLocker
ESET-NOD32 -> A Variant Of Win32/Packed.EnigmaProtector.J Suspicious
Malwarebytes -> Ransom.BinADS
TrendMicro -> TROJ_GEN.R002C0DKD20
Вариант от 14 октября 2020:
Расширение: .easy2lock
Записка (шаблон названия): <filename>.eask2lock_read_me
Записка-пример для файла Image_2020.jpg: Image_2020.jpg.easy2lock_read_me
Email: leroy3564@protonmail.com
donovan4039@airmail.cc
darryl8227@msgsafe.io
➤ Обнаружения:
DrWeb -> Trojan.Encoder.32802
ALYac -> Trojan.Ransom.WastedLocker
ESET-NOD32 -> Win32/Filecoder.WastedLocker.A
Microsoft -> Ransom:Win32/WastedLocker.B!cert
TrendMicro -> Ransom.Win32.WASTEDLOCKER.AB
---
➤ Содержание записки:
Your network has been penetrated.
All files on each host in the network have been encrypted with a strong algorythm.
Backups were either encrypted or deleted.
Do not rename or move the encrypted files.
To get the files back contact us at:
leroy3564@protonmail.com
donovan4039@airmail.cc
darryl8227@msgsafe.io
Store the encryption key:
[begin_key]YF/23+ygd9YG1bzuinY3XxpU***LXVfD=[end_key] [всего 684 знака]
Вариант от 16 октября 2020:
Расширение: .easy2lock
Записка (шаблон названия): <filename>.eask2lock_read_me
➤ Обнаружения:
DrWeb -> Trojan.Encoder.32876
ALYac -> Trojan.Ransom.WastedLocker
ESET-NOD32 -> Win32/Filecoder.WastedLocker.A
Malwarebytes -> Ransom.WastedLocker
Microsoft -> Ransom:Win32/WastedLocker.A!cert
Обновление от 23 октября 2020:
Вариант от 17 декабря 2020:
Самоназвание: Hades Ransomware (отдельная статья) >>
Расширение: .<random{5}>
Записка: HOW-TO-DECRYPT-xxxxx.txt
=== 2021 ===
Вариант от 14 марта 2021:
Расширение: .seccrypt
Записка: .howto_seccrypt
Пример файла с текстом записки: UseTrace.mpeg.howto_seccrypt
Email: 16675@PROTONMAIL.CH
Файл: idconfig:bin
➤ Обнаружения:
DrWeb -> Trojan.Encoder.33621
BitDefender -> Trojan.Agent.EUGC
ESET-NOD32 -> A Variant Of Win32/Kryptik.HGSP
Malwarebytes -> Trojan.MalPack.TRE
Microsoft -> Ransom:Win32/WastedLocker.MA!MTB
Qihoo-360 -> Win32/Ransom.WastedLocker.HxQBVjUA
Rising -> Ransom.WastedLocker!8.11D3E (CLOUD)
Tencent -> Win32.Trojan.Delshad.Ebgy
TrendMicro -> Ransom_WastedLocker.R007C0DBF21
Самоназвание: Phoenix Cryptolocker
Расширение: .phoenix
Записка: PHOENIX-HELP.txt
Вариант от 4 мая 2021:
Расширение: .saverswasted
Записка для каждого файла: [original_filename].saverswasted_info
Результаты анализов: VT
➤ Обнаружения:
DrWeb -> Trojan.Encoder.33901
BitDefender -> Trojan.Mint.Zamg.O
ESET-NOD32 -> A Variant Of Win32/Kryptik.HFDU
Malwarebytes -> Ransom.WastedLocker
Microsoft -> Ransom:Win32/WastedLocker.MA!MTB
TrendMicro -> Ransom_WastedLocker.R002C0CE421
Вариант от 2 июня 2021:
Самоназвание: PAYLOADBIN Ransomware
Расширение: .PAYLOADBIN
Записка: PAYLOADBIN-README.txt
Email: rickhood@armormail.net, meredithpatrick@protonmail.com
➤ Обнаружения:
DrWeb -> Trojan.Encoder.33999
Avira (no cloud) -> TR/Redcap.grcqg
BitDefender -> Trojan.GenericKD.46428899
ESET-NOD32 -> Win64/Filecoder.Conti.B
Kaspersky -> Trojan.Win32.Bingoml.bsxp
Microsoft -> Ransom:Win32/Filecoder!MSR
Symantec -> Downloader
TrendMicro -> Ransom_Filecoder.R002C0DF621
---
➤ Содержание записки:
The network is LOCKED with PAYLOADBIN ransomware. Don't try to use other software.
For decryption KEY write HERE: #1 rickhood@armormail.net | #2 meredithpatrick@protonmail.com
Вариант от 20 октября 2021:
Новый вариант / ребрендинг: Macaw (Macaw Locker)
Записка: macaw_recover.txt
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + myMessage ID Ransomware (1st ID as Wasted, 2nd ID as WastedLocker) Write-up, Write-up, Write-up, Write-up, Topic of Support *
Additional articles: Hijacking DLLs in Windows Almost 300 Windows 10 executables vulnerable to DLL hijacking WastedLocker Goes "Big-Game Hunting" in 2020 * WastedLocker: technical analysis by Kaspersky (July 31, 2020)
Thanks: NccGroup, Michael Gillespie, Lawrence Abrams, Petrovic Andrew Ivanov (author) to authors of research and analysis to victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Комментариев нет:
Отправить комментарий
ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.