VanGoth

VanGoth Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп £50 в BTC, чтобы вернуть файлы. Оригинальное название: VanGoth. На файле написано: VanGoth.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34421
BitDefender -> Trojan.GenericKD.37797714

ESET-NOD32 -> A Variant Of MSIL/Filecoder.GZ
Kaspersky -> UDS:Trojan-Ransom.MSIL.Encoder.gen
Malwarebytes -> Ransom.FileLocker
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Symantec -> Trojan Horse
TrendMicro -> Ransom.MSIL.VANGOTH.THJBEBA
---

© Генеалогия: HiddenTear >> VanGoth

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине октября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .VanGoth

Записка с требованием выкупа называется: READ_IT.txt

Содержание записки о выкупе:

Files have been encrypted by VanGoth

Please send  Some etherum worth £50 to ether address:0x1AF8944214143085AD09b459303f3EB29953d7eB

email jaber1699@protonmail.com for deC3ypter Program to deCypt Files Allso eate ***. *** Back the KKK and slavery.

Перевод записки на русский язык:

Файлы были зашифрованы VanGoth

Отправьте немного эфира на 50 фунтов стерлингов на адрес: 0x1AF8944214143085AD09b459303f3EB29953d7eB

напишите по электронной почте jaber1699@protonmail.com для программы deC3ypter по распаковке файлов. ***. *** возврат KKK и рабство.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_IT.txt - название файла с требованием выкупа;
VanGoth.exe - название вредоносного файла;

gmreadme.txt - название файла, созданного файлом VanGoth.exe.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\VanGoth.exe

C:\Windows\SysWOW64\drivers\gmreadme.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: jaber1699@protonmail.com
Ethereum: 0x1AF8944214143085AD09b459303f3EB29953d7eB

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: afff555062c4e6fb3a34e7c2be519fcd

SHA-1: 73ed552ba04e57e8cd991f9f82a182aa298c4baa

SHA-256: d27a5719ec67c146a1b338302074de39f5ad49b17f81cb014cc2c57c4f464d85

Vhash: 234036551511209515d3080

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.