Spider Py

Spider Py Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Ransomware.Spider.b!. Язык программирования: Python. Разработчик: xiaomeng. 
---
Обнаружения:
DrWeb -> Python.Encoder.36, Python.Encoder.38
BitDefender -> Trojan.Python.Agent.IX, Trojan.GenericKD.37206381
ESET-NOD32 -> Python/Filecoder.HL
Kaspersky -> Trojan.Python.Agent.cd, Trojan-Ransom.Win32.Gen.abpr
Malwarebytes -> Ransom.FileCryptor.Python.Generic, Ransom.FileCryptor.Python
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> TROJ_GEN.R002C0WG221
---

© Генеалогия: BlackKingdom > DemonWare > Spider Py

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в начале июля 2021 г.  Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .Spider

Записка с требованием выкупа называется: ***нет данных***

Содержание записки о выкупе:
***

Перевод записки на русский язык:
***


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Из-за ошибки выполнения скрипта шифрование не выпоняется на некоторых компьютерах и VM. Изучить подробнее не представляется возможным. 

Список типов файлов, подвергающихся шифрованию:
Большинство файлов, кроме исключаемых. 

Это наверняка будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Исключаемые типы файлов: 

.sys, .exe, .dll, на диске C, размер менее 10 Мб.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа; 
encrypt.exe - название вредоносного файла (ранний вариант); 

Ransomware.Spider.b!.exe - название вредоносного файла. 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: 
BTC: 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC-1: VT, IA, TG, AR

MD5: 0ca5f4c1f5f9548f46fbb1cbdd05aa10

SHA-1: 80e7629dd39f988c5f498eb37559a5c7c4e78295

SHA-256: 2113f8475c90e4bf5a623210e294f71b79b84ea99bef5b342b6b2026edfcb04c

Vhash: 017056656d15656048z5dnz2fz

Imphash: 7235131d58a25a8130aac9df516d4024

---

IOC-1: VT, IA

MD5: 07361a2c4307375cd12aabc2bd08127a

SHA-1: 4dcdc457e1663958ab32337878e7f7616443f172

SHA-256: 99092d8c37ee8ae67e5abb60ebb2e3d09424d6a69792a758e9c4fa08c669a296

Vhash: 096066656d1515156048z5cnz25z17z

Imphash: 4f699d9195f8b90fd792f147d3831279

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 Petrovic 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.