RunSomeAware Ransomware
(шифровальщик-вымогатель, деструктор) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем даже не требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: RunSomeAware. На файле написано: RunSomeAware.exe и RSW.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.33829
BitDefender -> Trojan.GenericKD.45986170, Trojan.Agent.FFQG
Avira (no cloud) -> TR/Agent.bukvj, TR/Agent.yegab
ESET-NOD32 -> ***
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Gen.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Wacatac.B!ml, Ransom:MSIL/Swagkarna!MTB
Qihoo-360 -> Win32/Ransom.Generic.HgIASOAA, Win32/Ransom.Generic.HgIASQIA
Rising -> Ransom.Gen!8.DE83 (CLOUD)
Symantec -> ML.Attribute.HighConfidence, Trojan.Gen.MBT
Tencent -> Msil.Trojan.Gen.Eyo, Msil.Trojan.Gen.Hmrh
TrendMicro -> Ransom_Gen.R002C0WB621, Ransom_Swagkarna.R002C0DCV21
---
© Генеалогия: ??? >> RunSomeAware
К зашифрованным файлам добавляются расширения:
Rising -> Ransom.Gen!8.DE83 (CLOUD)
Symantec -> ML.Attribute.HighConfidence, Trojan.Gen.MBT
Tencent -> Msil.Trojan.Gen.Eyo, Msil.Trojan.Gen.Hmrh
TrendMicro -> Ransom_Gen.R002C0WB621, Ransom_Swagkarna.R002C0DCV21
---
© Генеалогия: ??? >> RunSomeAware
Изображение — логотип статьи
К зашифрованным файлам добавляются расширения:
.graysuit
.swagkarna
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Активность этого крипто-вымогателя пришлась на конец января - начало февраля 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
Записка с требованием выкупа не используется. Нет никаких контактов для связи и уплаты выкупа.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
RunSomeAware.pdb - название файла проекта;
RunSomeAware.exe, RSW.exe - названия вредоносного файла.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
RunSomeAware.exe, RSW.exe - названия вредоносного файла.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\Lenovo\Downloads\SKLogger-master\test\RunSomeAware\obj\Debug\RunSomeAware.pdb
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: swagkarna@gmail.com, hackrefisher@gmail.com
URL: github.com/DarkSecDevelopers/RunSomeAware
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: swagkarna@gmail.com, hackrefisher@gmail.com
URL: github.com/DarkSecDevelopers/RunSomeAware
URL: github.com/swagkarna/RunSomeAware
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >> VT>
🐞 Intezer analysis >> IA>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
Вариант от 17 августа 2021:
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >> VT>
🐞 Intezer analysis >> IA>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Вариант от 17 августа 2021:
Записка: Urgent Notice.txt
Email: pagar40br@gmail.com
BTC: 1Faiem4tYq7JQki1qeL1djjenSx3gCu1vk
Результаты анализов: VT + TG
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage ID Ransomware (ID as RunSomeAware) Write-up, Topic of Support *
Внимание! Файлы можно дешифровать! Рекомендую обратиться по этой ссылке к Michael Gillespie >>
Thanks: Kangxiaopao, Michael Gillespie Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Комментариев нет:
Отправить комментарий
ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.