N3TW0RM, NetWorm

N3TW0RM Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные компьютерных систем некотоых израильских компаний, а затем требует выкуп в 3-4 BTC или больше, чтобы вернуть файлы. Иначе вымогатели угрожают опубликовать украденные данные этих компаний. Оригинальные названия: N3TW0RM, N3tw0rm (фактически: NetWorm), указано в заголовке записки и её тексте. Начало атаки: 18 апреля 2021. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.33897
BitDefender -> Trojan.GenericKD.46208382
ALYac -> Trojan.Ransom.Filecoder
Avira (no cloud) -> TR/Ransom.nwhkv
ESET-NOD32 -> Win32/Filecoder.N3TW0RM.A, A Variant Of Win32/Filecoder.N3TW0RM.A
Kaspersky -> HEUR:Trojan-Ransom.Win32.Agent.gen
Malwarebytes -> Trojan.Crypt
Microsoft -> Ransom:Win32/Rolsig.A
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Symantec -> Trojan Horse
Tencent -> ***
TrendMicro -> Ransom.Win32.NETWORM.A
---

© Генеалогия: Pay2Key? > N3TW0RM

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .n3tw0rm

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину апреля 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Этимология названия и подоплека атаки. 

Эта атака является ответом на израильскую кибератаку на ядерный объект Ирана и другие агрессивные военные действия, произошедшие в первой половине апреля 2021. Завуалированное название NetWorm ("сетевой червь") является отголоском функционала сетевого червя Stuxnet, который в 2010 году готовился спецслужбами Израиля и США и использовался кибергруппами  против ядерного проекта Ирана. За прошедшие годы иранский хактивизм и киберактивность во многом продвинулись, их кибервойска и отдельные кибергруппы теперь могут проводить не менее разрушительные кибератаки. Но если бы все ограничивалось кибератакими... Безбашенная военщина Израиля продолжает стрелять по объектам в Иране и Сирии без какого-то либо предупреждения, не считаясь с жизнями людей. Справедливый гнев и жажда мести заставляют отдельные иранские кибергруппировки проводить ответные меры, среди которых и подобные хакерские атаки с использованием Ransomware и Doxware. И хотя эти атаки не проливают человеческую кровь, они тоже являются преступлением. 

Информация из статей...

По словам израильских специалистов, иранские кибервымогатели выдают себя за русских (используя ник N3tw0rm). Они атакуют израильские фирмы, участвующие в цепочке поставок. Взлом этих компаний, предоставляющих  услуги большому количеству других компаний, позволит получить доступ к информации множества пострадавших. Хактивисты NetWorm идеологически мотивированы, но при этом всё же требуют выкуп, вероятно не имея реального намерения разглашать данные. 

Израильские эксперты полагают (нет доказательств), что N3tw0rm связана с иранскими операторами Pay2key Ransomware, которые в прошлом году заявили о взломе Israel Aerospace Industries и израильской ИБ-компании Portnox. Или группа Pay2key просто сменила название. 

Судя по информации, опубликованной вымогателями на своем сайте в Darknet, объектами атак NetWorm стали израильские компании H&M Israel и Veritas Logistic. Вымогатели разместили на сайте их логотипы. Хакеры угрожают опубликовать 110 гигабайт данных H&M Israel и 9 гигабайт данных Veritas, включая информацию о клиентах, счетах, данных о сотрудниках, платежную информацию, в том числе кредитные карты, если выкуп не будет выплачен. По данным Veritas, к 3 мая хакеры требовали с них 3 биткойна (почти $170 000). Позже стало известно, что мишенью кибервымогателей N3TW0RM стали четыре израильские компании и одна неправительственная фирма Ecolog Engineering Ltd.

---

Записка с требованием выкупа называется: N3TW0RM_MESSAGE.TXT

Содержание записки о выкупе:

--== Dear users! ==--

N3tw0rm is talking to you...

N3tw0rm provides enterprise-level of ransomware attacks!

Don't worry about your network because you're not the first and of course not the last!

[+] What is Ransomware?[+]

Ransomware is a type of malware from cryptovirology that threatens to publish the victim's data or perpetually block access to it unless a ransom is paid.

It encrypts the victim's files, making them inaccessible, and demands a ransom payment to decrypt them.

(https://en.wikipedia.org/wiki/Ransomware)

[+] What's Happened? [+]

Your entire company network has been encrypted! yes, your whole network!

By the way, everything is possible to recover (restore), but you need to follow the instructions. Otherwise, you can't return your data (NEVER).

N3tw0rm extracted some of your important information as a deal guarantee, everything is moving better when you have a guarantee in your hands absolutely!

[+] Trial decryption [+]

You can send 5 random files from any computers and receive decrypted data to make sure that N3tw0rm decryptor works. 

[+] How to restore your files back? [+]

Simple and easy!

You should pay 4 BTC to receive your network decryptor.

Wallet: ***

E-Mail: n3tw0rm@tuta.io

Your Computer Unique ID: ***

Your Network Identifier ID: ***

[!] NOTICE [!]

You should make your payment before 05/04/2021, otherwise your price will be doubled and your data going to leak on N3tw0rm onion directory!

Check the N3tw0rm onion site:

http://***hra4wthvlgyeyd.onion/

[!] Don't try to change files by yourself, Don't use any third party software for restoring your data or antivirus solutions.

[!] Don't modify encrypted files or you can damage them and decryption will be impossible!

Перевод записки на русский язык:

-== Дорогие е пользователи! ==-

N3tw0rm с вами говорит...

N3tw0rm обеспечивает защиту корпоративного уровня отransomware!

Не беспокойтесь о своей сети, потому что вы не первый и, конечно, не последний!

[+] Что есть Ransomware? [+]

Ransomware - это тип вредоносного ПО из криптовирологии, которое угрожает опубликовать данные жертвы или постоянно блокирует доступ к ним, если не будет уплачен выкуп.

Он шифрует файлы жертвы, делая их недоступными, и требует выкуп за их расшифровку.

(https://en.wikipedia.org/wiki/Ransomware)

[+] Что случилось? [+]

Вся ваша корпоративная сеть зашифрована! да, вся ваша сеть!

Кстати, все можно вернуть (восстановить), но нужно следовать инструкции. Иначе вы не сможете вернуть свои данные (НИКОГДА).

N3tw0rm извлек часть вашей важной информации как гарантию сделки, все идет лучше, когда у вас есть абсолютная гарантия!

[+] Пробная расшифровка [+]

Вы можете прислать 5 случайных файлов с любых компьютеров и получить расшифрованные данные, чтобы убедиться, что дешифратор N3tw0rm работает.

[+] Как вернуть файлы назад? [+]

Просто и легко!

Вы должны платить 4 BTC, чтобы получить сетевой дешифратор.

Кошелек: ***

E-Mail: n3tw0rm@tuta.io

Уникальный ID вашего компьютера: ***

Ваш ID сетевого идентификатора: ***

[!] УВЕДОМЛЕНИЕ [!]

Вы должны произвести оплату до 05.04.2021, иначе ваша цена удвоится, и ваши данные утекут на onion-сайте N3tw0rm!

Посетите onion-сайт N3tw0rm:

http: //***hra4wthvlgyeyd.onion/

[!] Не пытайтесь сами изменять файлы, не используйте сторонние программы для восстановления ваших данных или антивирусные решения.

[!] Не изменяйте зашифрованные файлы, иначе вы можете повредить их и расшифровка будет невозможна!

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
N3TW0RM_MESSAGE.TXT - название файла с требованием выкупа;  
<random>.exe - случайное название вредоносного файла; 

slave.exe - название вредоносного файла; 

N3TW0RM_IOC.xlsx

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://***hra4wthvlgyeyd.onion/

Email: n3tw0rm@tuta.io
BTC: скрыт
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis N3TW0RM_IOC.xlsx >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as N3TW0RM)
 Write-up, Write-up, Topic of Support
 * 

 Thanks: 
 BleepingComputer, Haaretz 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.