Loki Ransomware
Loki Cover-Ransomware
(шифровальщик-вымогатель, инфостилер) (первоисточник)
Translation into English
Этот крипто-вымогатель распространяется вместе с похитителем информации и после кражи данных может зашифровать файлы, а затем потребовать выкуп в 0.02 BTC, чтобы вернуть файлы. Оригинальное название: Loki и Loki infostealer. На файлах может быть написано: newbuild.exe, gamebooster.exe или что-то другое.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Trojan.GenericKD.34678733
ALYac -> Trojan.Downloader.DOC.Gen
Avira (no cloud) -> W97M/Dldr.Agent.qmgeq
ESET-NOD32 -> A Variant Of Generik.HAIVAHF
Malwarebytes -> ***
Rising -> Malware.ObfusVBA@ML.84 (VBA)
Symantec -> Trojan.Gen.NPE
TrendMicro -> TROJ_FRS.0NA103JC20
---
DrWeb -> Trojan.PWS.Siggen2.27515
BitDefender -> Gen:Variant.Razy.617928
ALYac -> Spyware.LokiBot
Avira (no cloud) -> ***
ESET-NOD32 -> A Variant Of Win32/Spy.Agent.PTW
Malwarebytes -> Spyware.LokiStealer.PP
Rising -> Spyware.Agent!8.C6 (TFE:5:MBQQJMAo7nE)
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> TROJ_GEN.R007C0DF920
---
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: ??? >> Loki
К зашифрованным файлам добавляется расширение: .loki
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Образец загружаемого вредоносного документа Word с макросами был найден в начале октября 2020 г. Исполнямый файл относится к августу 2019 года. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записка с требованием выкупа называется: HowToDecrypt.txt
Содержание записки о выкупе:
Перевод записки на русский язык:
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Идет в комплексе с Loki++ Stealer 2.0 Coded By Loki (твит MHT)
➤ Использует Powershell, WScript и вредоносные макросы в документах Word.
Скриншоты от исследователей:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
HowToDecrypt.txt - название файла с требованием выкупа
newbuild.exe - название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >> VT> VT>
🐞 Intezer analysis >> IA>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
🔓 Decryptable / Можно расшифровать: Пишите Майклу >>
Read to links: Tweet on Twitter + Tweet + Tw + myTweet ID Ransomware (ID as Loki) Write-up, Topic of Support *
Thanks: Arkbird, Michael Gillespie, MalwareHunterTeam Andrew Ivanov (author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Оказывается, в сети уже есть исходники этого творения. Версии C# и C++ стиллера и его панели
ОтветитьУдалить