HimalayA

HimalayA Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные компаний и бизнес-пользователей с помощью AES-256, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
ALYac -> 
Avira (no cloud) -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Symantec -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: предыдущие разработки >> HimalayA

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя не наблюдалась. Сообщение появилось на форуме Даркнета в начале июня 2021 г. Предоставляется как RaaS с запретом проведения атак на компьютерные системы в области здравоохранение и некоммерческие организации. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: *нет данных*.

Содержание сообщения:

Ransomware as a Service - HimalayA

We offer ransomware for free!

We take a commission of 30% of all ransoms paid

We send the part of your ransom maximum 24 hours after confirmation of the transaction

We manage communication with victims

VERY IMPORTANT WARNING :

PROHIBITION OF ATTACKING HEALTH FACILITIES

PROHIBITION OF ATTACKING ANY PUBLIC ORGANIZATION OR NON-PROFIT ASSOCIATION

ONLY ATTACK PRIVATE COMPANIES OR INDIVIDUALS

Already configured and compiled FUD Ransomware.

AES 256 Encryption

x86 / x64 for Windows

Files types HimalayA encrypt :( by default )

'.txt', '.ppt', '.pptx', '.doc', '.docx', '.gif', '.jpg', '.png', '.ico', '.mp3', '.ogg', '.csv', '.xls', '.exe', '.pdf', '.ods', '.odt', '.kdbx', '.kdb', '.mp4', '.flv', '.jpeg', '.zip', '.tar', '.tar.gz', '.rar',

You can change by specifying your request when ordering

Directory HimalayA encrypt : ( by default )

'Downloads', 'Documents', 'Pictures', 'Music', 'Desktop', 'Onedrive',

You can change by specifying your request when ordering

ORDER

Send us an email specifying :

- The amount in btc/xmr of the ransom requested

- A btc/xmr address for the payment of your share of the ransoms

- Options files types encrypt

- Option directorys encrypt

himalayaraas@dnmx.org

Перевод сообщения на русский язык:

Программа-вымогатель как услуга - HimalayA

Мы предлагаем программы-вымогатели бесплатно!

Мы берем комиссию в размере 30% от всех уплаченных выкупов.

Мы отправляем часть вашего выкупа максимум через 24 часа после подтверждения транзакции.

Управляем общением с жертвами

ОЧЕНЬ ВАЖНОЕ ПРЕДУПРЕЖДЕНИЕ:

ЗАПРЕТ НА АТАКУ МЕДИЦИНСКИХ УЧРЕЖДЕНИЙ

ЗАПРЕТ НА АТАКУ ОБЩЕСТВЕННЫХ ОРГАНИАЗАЦИЙ ИЛИ НЕКОММЕРЧЕСКИХ АССОЦИАЦИЙ

РАЗРЕШЕНЫ АТАКИ ТОЛЬКО НА ЧАСТНЫЕ КОМПАНИИ ИЛИ ЛИЦА

Уже настроено и скомпилировано FUD Ransomware.

Шифрование AES 256

x86 / x64 для Windows

Типы шифруемых HimalayA файлов : (по умолчанию)

'.txt', '.ppt', '.pptx', '.doc', '.docx', '.gif', '.jpg', '.png', '.ico', '.mp3', '.ogg', '.csv', '.xls', '.exe', '.pdf', '.ods', '.odt', '.kdbx', '.kdb', '.mp4', '.flv', '.jpeg', '.zip', '.tar', '.tar.gz', '.rar',

Вы можете изменить, указав свой запрос при заказе

Шифруемые HimalayA каталоги: (по умолчанию)

"Загрузки", "Документы", "Изображения", "Музыка", "Рабочий стол", "Onedrive",

Вы можете изменить, указав свой запрос при заказе

ЗАКАЗ

Отправьте нам email с уточнением:

- Суммы запрошенного выкупа в btc/xmr 

- Адреса btc/xmr для выплаты вашей доли выкупа 

- Параметров шифруемых типов файлов 

- Возможности шифрования каталогов 

himalayaraas@dnmx.org

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию по умолчанию:

.csv, .doc, .docx, .exe, .flv, .gif, .ico, .jpeg, .jpg, .kdb, .kdbx, .mp3, .mp4, .ods, .odt, .ogg, .pdf, .png, .ppt, .pptx, .rar, .tar, .tar.gz, .txt, .xls, .zip (26 типов файлов). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Директории, в которых файлы шифруются по умолчанию:
Downloads, Documents, Pictures, Music, Desktop, Onedrive. 

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: ohu6eschnuhxfg46wvco7j3e76oqymo4cowfepbi7h6z3vf6if6lj5yd.onion

Email: himalayaraas@dnmx.org
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 RAKESH KRISHNAN
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.