HotCoffee

HotCoffee Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в 1 кофе, чтобы вернуть файлы. Оригинальное название: HotCoffeeRansomware. На файле написано: HotCoffeeRansomware.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34366
ALYac -> Trojan.Ransom.Filecoder
Avira (no cloud) -> TR/FileCoder.bzuzi
BitDefender -> Trojan.Generic.30254142
ESET-NOD32 -> A Variant Of Win64/Filecoder.DY
Kaspersky -> HEUR:Trojan-Ransom.Win64.Generic
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win64/FileCoder.CK!MTB
Tencent -> Win64.Trojan.Generic.Svgu
TrendMicro -> CallTROJ_GEN.R002H0DIR21
---

© Генеалогия: ??? >> HotCoffee

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в конце сентября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .hotcoffee

Записка с требованием выкупа называется: HOT_COFFEE_README.hta

В заголовке экрана есть слова "surprise friend": 

Содержание записки о выкупе:

GIVE ME HOT COFFEE

You have been bamboozled by the hot coffee ransomware.

Your files have been encrypted using military grade encryption and only we have the decryption key.

If you want to get your files back you need to pay a ransom of 1 large long black with an extra espresso shot.

Email EMAIL@protonmail.com for further instructions. You have 7 days to pay or else.

Перевод записки на русский язык:

ДАЙТЕ МНЕ ГОРЯЧИЙ КОФЕ

Вы одурачены программой-вымогателем для горячего кофе.

Ваши файлы были зашифрованы с использованием шифрования военного уровня, и только у нас есть ключ дешифрования.

Если вы хотите вернуть свои файлы, вам нужно заплатить выкуп в размере 1 большой длинный черный с дополнительной порцией эспрессо.

Напишите на EMAIL@protonmail.com для получения дальнейших инструкций. У вас есть 7 дней на оплату или иначе.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOT_COFFEE_README.hta - название файла с требованием выкупа; 
HotCoffeeRansomware.exe - случайное название вредоносного файла; 

HotCoffeeRansomware.pdb - название файла проекта. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\betha\source\repos\bethcoop\HCR\x64\Release\HotCoffeeRansomware.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: c054c0f03277f7f0bdad9350fa3d5c2d

SHA-1: 752071b548bb3a4c45c91174fcf5cf95ce99638a

SHA-256: 546f3a70ab029ad78105f1b7cf581038362cfbb3c7120326075552d72656ec98

Vhash: 075066651d1515651088z25xz25z

Imphash: bbb0f216d2c150cdf577e5b407a73162

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.