PyPayroll

PyPayroll Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует освободить неназванное арестованное лицо, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: Payroll_2021.exe.
---
Обнаружения:
DrWeb -> Python.Encoder.48
BitDefender -> Gen:Variant.Tedy.26120
ESET-NOD32 -> Python/Filecoder.JI
Kaspersky -> Trojan-Ransom.Win32.Crypmodng.we
Malwarebytes -> Ransom.FileCryptor
Symantec -> Trojan.Gen.MBT
Tencent -> Win32.Trojan.Filecoder.Dwtd
TrendMicro -> Ransom_Crypmodng.R002C0WL221
---

© Генеалогия: другие Python ransomware >> PyPayroll

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине - конце ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: *нет данных*. 

Записка с требованием выкупа называется: Ransom___Note.txt

Содержание записки о выкупе:

Your system has been encrypted.

The person being held for the attack against

the new North-South pipeline being built by the ANGI

should be released immediately!

Once released; we will send you a .bin file

which you should place on your desktop to decrypt your files.

-*- Do not turn off or restart your machine. You will lose your file. -*-

-*- Do not attempt to decrypt your files. You will lose them. -*-

Перевод записки на русский язык:

Ваша система зашифрована.

Лицо, задержанное за нападение на

новый трубопровод Север-Юг, строящийся АНГИ

следует немедленно выпустить!

После выпуска; мы отправим вам .bin файл

который следует разместить на рабочем столе для расшифровки файлов.

- * - Не выключайте и не перезапускайте компьютер. Вы потеряете свой файл. - * -

- * - Не пытайтесь расшифровать ваши файлы. Вы их потеряете. - * -

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ В тестовом режиме не удалось изучить работу вредоносной программы. Запуск завершается с ошибкой.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Ransom___Note.txt - название файла с требованием выкупа;
Payroll_2021.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

%USERPROFILE%\AppData\Local\Temp\_MEI22242 

%USERPROFILE%\AppData\Local\Temp\_MEI22242\Cryptodome 

%USERPROFILE%\AppData\Local\Temp\_MEI22242\Cryptodome\Cipher

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 15518d5c35980b174fa79db41066ddbb

SHA-1: c702da0190139cf05639bb4b660c6347f507a574

SHA-256: 4d045262dbdb511c5771899d51511d8265024fc4d2e897913d3e5766b37cff6a

Vhash: 017076655d15551575504013z30065mz11fz

Imphash: 5324ac1e1bceff69ec8d4435c50bfe0e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

BlueLocker

BlueLocker Ransomware

BlueCryptor Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: BlueLocker (указано в записке), BlueCryptor (указано в коде). На файле написано: eG5zd3V5Cg.exe. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.34622
BitDefender -> Gen:Heur.Mint.Zard.2
ESET-NOD32 -> A Variant Of Generik.CTNEHZY
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Rising -> Trojan.Generic@ML.87 (RDMK:OxH*
Symantec -> Downloader
Tencent -> Win32.Trojan.Encoder.Lkxa
TrendMicro -> TROJ_GEN.R002H09KT21
---

© Генеалогия: ??? >> BlueLocker (BlueCryptor)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в конце ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .blue

Записка с требованием выкупа называется: restore_file.txt

Содержание записки о выкупе:

------------------------------------------------------------------

----------- [ Hello! ] ------------->

****BY BLUE LOCKER****

What happend?

-------------------------------------------

Your computers and servers are encrypted, backups are deleted from your network and copied. We use strong encryption algorithms, so you cannot decrypt your data.

But you can restore everything by purchasing a special program from us - a universal decoder.

This program will restore your entire network.

Follow our instructions below and you will recover all your data.

If you continue to ignore this for a long time, we will start reporting the hack to mainstream media and posting your data to the dark web.

What guarantees?

-------------------------------------------

We value our reputation, if we do not do our work and liabilities, nobody will pay us. This is not in our interests.

All our decryption software is perfectly tested and will decrypt your data, we will also provide support in case of problems.

We guarantee to decrypt one file for free, email us.

How to contact us?

-------------------------------------------

You can write us to our mailbox : grepmord@protonmail.com

!!! DANGER !!!

DO NOT MODIFY or try to RECOVER any files yourself. We WILL NOT be able to RESTORE them.

!!! DANGER !!

Перевод записки на русский язык:

------------------------------------------------------------------

----------- [ Привет! ] ------------->

****BY BLUE LOCKER****

Что случилось?

-------------------------------------------

Ваши компьютеры и серверы зашифрованы, резервные копии удалены из вашей сети и скопированы. Мы используем надежные алгоритмы шифрования, поэтому вы не можете расшифровать свои данные.

Но вы можете все вернуть, купив у нас специальную программу - универсальный декодер.

Эта программа восстановит всю вашу сеть.

Следуйте нашим инструкциям ниже, и вы восстановите все свои данные.

Если вы будете игнорировать это долгое время, мы начнем сообщать о взломе в основные средства массовой информации и публиковать ваши данные в темной сети.

Какие гарантии?

-------------------------------------------

Мы дорожим своей репутацией, если мы не будем выполнять свою работу и обязательства, нам никто не будет платить. Это не в наших интересах.

Все наши программы для дешифрования отлично протестированы и расшифруют ваши данные, а также окажем поддержку в случае возникновения проблем.

Мы гарантируем бесплатную расшифровку одного файла, напишите нам.

Как с нами связаться?

-------------------------------------------

Вы можете написать нам на наш почтовый ящик: grepmord@protonmail.com

!!! ОПАСНОСТЬ !!!

НЕ МОДИФИРУЙТЕ и НЕ ПЫТАЙТЕСЬ ВОССТАНОВИТЬ какие-либо файлы сами. Мы НЕ сможем их ВОССТАНОВИТЬ.

!!! ОПАСНОСТЬ !!

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов с помощью команды:

wmic SHADOWCOPY DELETE

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
restore_file.txt - название файла с требованием выкупа;
eG5zd3V5Cg.exe - название вредоносного файла.

После написания статьи исследователем вредоносных программ MalwareHunterTeam был обнаружен образец записки, который используется в криптоконструкторе, на оснвое которого был сделан BlueLocker (BlueCryptor). Там по желанию меняется название и email вымогателей. Смотрите на скриншотах обведённые красным цветом элементы текста. 

Ошибка в названии:

В части кода исследователь S!Ri заметил ошибку в названии: Bule Cryptor. 

Это же слово есть в ключах реестра, которые создает программа. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:

HKU\S-1-5-21-3711686801-687107597-1149503783-1001\Software\Microsoft\Windows\CurrentVersion\Run\Bule Cryptor

HKU\S-1-5-21-1015118539-3749460369-599379286-1001\Software\Microsoft\Windows\CurrentVersion\Run\Bule Cryptor

См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: grepmord@protonmail.com, 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: a186f6b7ec6d3b6a31b7158082b9a0fa

SHA-1: 31b186369551995ce707217ac2402271c99dc605

SHA-256: 515bd71a8b3c2bce7b40b89ddfe2e94d332b0779d569c58117f8dcdcb8a91ed9

Vhash: 084056655d15556078z4fhz101jz

Authentihash: 928bfb9bc7ee811c70dd03255add80193513043d7e6188bb8903a44b8d90f857

Imphash: a76d54d97811c4a329d0a586fe8f68ca

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 12 декабря 2021:

Расширение: .blue

Записка: restore_file.txt

Email: hyebwma@protonmail.com, hsbwabwy@xmpp.jp

Результаты анализа: VT, TG

MD5: 7ade88674690aa74970c12608b23bb30

SHA-1: 6522ee8ccc93ce3abec0a77a1732c15bb16a7ba0

SHA-256: 6eeb20cc709a18bf8845f7b678967b7f0ff96475cf51a261da87244886bbfd2e

Vhash: 084056655d15556078z53hz101jz

Imphash: c20bdcb2d02d3e0bacdf97b73a347fe4

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, MalwareHunterTeam
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

AvGhost

AvGhost Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: AvGhost. На файле написано: нет данных.
---
Обнаружения:
DrWeb ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---

© Генеалогия: ??? >> AvGhost

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была во второй половине ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .AvGhost

Записка с требованием выкупа называется: AvGhost.txt

Содержание записки о выкупе:

What's wrong with my computer?

Some of your important files have been encrypted and saved by me.

Photos, pictures, documents, compressed packages, audio, video, database files, etc., almost all types of files are encrypted, so they cannot be opened normally.

This is fundamentally different from normal file damage. You cannot find a way to recover files on the Internet. I assure you that without our decryption service, these files cannot be recovered even if God comes. 

Is there a way to recover these files?

Of course, there are recoverable methods, which can only be recovered through our decryption service. I guarantee by my personality that provide-safe and effective recovery services. 

But this is chargeable and cannot be postponed indefinitely.

Please click the <Decryption Test> button to recover some files for free. Please rest assured that I will never lie to you.

But if you want to restore all the files, you need to pay a fee.

Is it possible to pay a fixed amount at any time and it will be restored?

Of course not, the longer the delay in payment, the higher the price will be, which is obviously unfavorable to you.

It is best to pay within 3 days, and the cost will continue to increase after three days!

Also, if you don't pay within a week, you will never be able to recover your files.

Email: avghost@oteteam.com

Send $500 worth of Bitcoin to this address:

3EAcaNzUgLsTmPB8TavZXQdDZxkhKB9De3

Перевод записки на русский язык:

Что не так с моим компьютером?

Некоторые из ваших важных файлов зашифрованы и сохранены мной.

Фото, изображения, документы, сжатые пакеты, аудио, видео, файлы баз данных и т.д., почти все типы файлов зашифрованы, поэтому их нельзя открыть в обычном режиме. 

Это принципиально отличается от обычного повреждения файлов. Вы не сможете найти способ восстановить файлы в Интернете. Уверяю вас, что без нашей службы дешифрования эти файлы не могут быть восстановлены, даже если Бог придет.

Есть ли способ вернуть эти файлы?

Конечно, существуют методы восстановления, которые можно восстановить только с помощью нашей службы дешифрования. Своей личностью я гарантирую, что предоставлю безопасные и эффективные услуги по восстановлению.

Но это платно и нельзя откладывать на неопределенный срок.

Нажмите кнопку <Decryption Test>, чтобы бесплатно восстановить некоторые файлы. Будьте уверены, я никогда не буду вам лгать.

Но если вы хотите восстановить все файлы, вам нужно будет заплатить комиссию.

Можно ли в любой момент заплатить фиксированную сумму, и это будет восстановлено?

Конечно, нет, чем дольше просрочка платежа, тем выше будет цена, что для вас невыгодно.

Лучше всего платить в течение 3 дней, а через три дня стоимость будет продолжать расти!

Кроме того, если вы не заплатите в течение недели, вы никогда не сможете восстановить свои файлы.

Email: avghost@oteteam.com

Отправьте $500 в биткойнах на этот адрес:

3EAcaNzUgLsTmPB8TavZXQdDZxkhKB9De3

Записка с требованием выкупа также написана на экране блокировки с таймером и датой: 

Текст, вероятно, дублируется из текстовой записки. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
AvGhost.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: avghost@oteteam.com
BTC: 3EAcaNzUgLsTmPB8TavZXQdDZxkhKB9De3

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + myMessage + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 xiaopao, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Rook

Rook Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритма AES-128 (режим ECB) с прерывистым шифрованием, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Rook. На файле написано: rook.exe или rook3.exe.
---
Обнаружения: 
DrWeb -> Trojan.MulDrop19.4927
BitDefender -> Generic.Ransom.Babuk.A.0FFC53E6
ESET-NOD32 -> Win64/Filecoder.Sodinokibi.A, Win64/Filecoder.Rook.A
Malwarebytes -> Ransom.Sodinokibi
Microsoft -> Ransom:Win32/RookCrypt.PA!MTB
Symantec -> Downloader
TrendMicro -> TROJ_GEN.R002C0PKR21, Ransom_RookCrypt.R002C0DL421
---

© Генеалогия: ✂ Sodinokibi + ✂ Babuk + ✂ из других >> Rook

Сайт "ID Ransomware" это идентифицирует как Rook. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .Rook

В более ранних вариантах использовалось расширение .Tower

Записка с требованием выкупа называется: HowToRestoreYourFiles.txt

Содержание записки о выкупе (ошибки в оригинальном тексте выделены красным цветом): 

-----------Welcome. Again. --------------------

[+]Whats Happen?[+]

Your files are encrypted,and currently unavailable. You can check it: all files on you computer has expansion robet.

By the way,everything is possible to recover (restore), but you need to follow our instructions. Otherwise, you cant return your data (NEVER).

[+] What guarantees?[+]

Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will not cooperate with us. Its not in our interests.

To check the file capacity, please send 3 files not larger than 1M to us, and we will prove that we are capable of restoring.

If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data,cause just we have the private key. In practise - time is much more valuable than money.

If we find that a security vendor or law enforcement agency pretends to be you to negotiate with us, we will directly destroy the private key and no longer provide you with decryption services.

You have 3 days to contact us for negotiation. Within 3 days, we will provide a 50% discount. If the discount service is not provided for more than 3 days, the files will be leaked to our onion network. Every more than 3 days will increase the number of leaked files.

Please use the company email to contact us, otherwise we will not reply.

[+] How to get access on website?[+] 

You have two ways:

1) [Recommended] Using a TOR browser!

a) Download and install TOR browser from this site:https://torproject.org/

b) Open our website:gamol6n6p2p4c3ad7gxmx3ur7wwdwlywebo2azv3vv5qlmjmole2zbyd.onion

2) Our mail box:

a)rook@onionmail.org

b)securityRook@onionmail.org

c)If the mailbox fails or is taken over, please open Onion Network to check the new mailbox

-------------------------------------------------------------------------------------------

!!!DANGER!!!

DONT try to change files by yourself, DONT use any third party software for restoring your data or antivirus solutions - its may entail damge of the private key and, as result, The Loss all data.

!!!!!!!

AGAIN: Its in your interests to get your files back. From our side, we (the best specialists) make everything for restoring, please should not interfere.

!!!!!!!

ONE MORE TIME: Security vendors and law enforcement agencies, please be aware that attacks on us will make us even stronger.

!!!!!!!

Перевод записки на русский язык:

-----------Добро пожаловать. Снова. --------------------

[+] Что случилось? [+]

Ваши файлы зашифрованы и теперь недоступны. Вы можете проверить это: все файлы на вашем компьютере имеют расширение robet.

Кстати, все можно вернуть (восстановить), но нужно следовать нашим инструкциям. Иначе вы не сможете вернуть свои данные (НИКОГДА).

[+] Какие гарантии? [+]

Это просто бизнес. Мы абсолютно не заботимся о вас и ваших сделках, кроме получения выгоды. Если мы не будем выполнять свою работу и обязательства - никто с нами не будет сотрудничать. Это не в наших интересах.

Чтобы проверить размер файла, пришлите нам 3 файла размером не более 1M, и мы докажем, что можем восстановить.

Если вы не будете сотрудничать с нашим сервисом - для нас это не имеет значения. Но вы потеряете свое время и данные, потому что только у нас есть закрытый ключ. На практике время гораздо дороже денег.

Если мы обнаружим, что поставщик средств безопасности или правоохранительное агентство выдает себя за вас, чтобы вести переговоры с нами, мы напрямую уничтожим закрытый ключ и больше не будем предоставлять вам услуги дешифрования.

У вас есть 3 дня, чтобы связаться с нами для переговоров. В течении 3-х дней предоставим скидку 50%. Если услуга скидки не предоставляется более 3 дней, файлы просочатся в нашу onion сеть. Каждые более 3 дней будет увеличиваться количество просочившихся файлов.

Используйте корпоративный адрес электронной почты, чтобы связаться с нами, иначе мы не ответим.

[+] Как получить доступ на сайт? [+]

У вас есть два пути:

1) [Рекомендуется] С помощью браузера TOR!

а) Загрузите и установите браузер TOR с этого сайта: https: //torproject.org/

б) Откройте наш сайт: gamol6n6p2p4c3ad7gxmx3ur7wwdwlywebo2azv3vv5qlmjmole2zbyd.onion

2) Наш почтовый ящик:

а) rook@onionmail.org

б) securityRook@onionmail.org

c) Если почтовый ящик выйдет из строя или будет захвачен, пожалуйста, откройте Onion Сеть, чтобы проверить новый почтовый ящик.

-------------------------------------------------- -----------------------------------------

!!!ОПАСНОСТЬ!!!

НЕ пытайтесь изменять файлы сами, НЕ используйте какую-либо стороннюю программу для восстановления ваших данных или антивирусные решения - это может повлечь за собой повреждение закрытого ключа и, как следствие, потерю всех данных.

!!!!!!!

СНОВА: В ваших интересах вернуть свои файлы. Со своей стороны мы (лучшие специалисты) делаем все для восстановления, просим не мешать.

!!!!!!!

ЕЩЕ ОДИН РАЗ: поставщики средств безопасности и правоохранительные органы, имейте в виду, что атаки на нас сделают нас еще сильнее.

!!!!!!!

Скриншоты с сайта вымогателей:

Скриншот с основного сайта

Скриншот со страницы сайта, направленного на банк в Казахстане. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов. 

➤ Шифрует блоки 0x10 в режиме ECB, пропуская затем 0x10 байтов, и добавляет 0xA18 в конце, включая исходный размер файла. 

Список типов файлов, подвергающихся шифрованию:
Многие популярные ти пы файлов, кроме тех, что в списках искючений. 

Наверняка среди зашифрованных будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр. 

Пропущенные директории: 

Program Files, Program Files (x86), AppData, Windows, Windows.old, Tor Browser, Internet Explorer, Google, Opera, Opera Software, Mozilla

Пропущенные файлы:

autorun.inf, boot.ini, bootfont.bin, bootsect.bak, bootmgr, bootmgr.efi, bootmgfw.efi, desktop.ini, iconcache.db, ntldr, ntuser.dat, ntuser.dat.log, ntuser.ini, thumbs.db

Файлы, связанные с этим Ransomware:
HowToRestoreYourFiles.txt - название файла с требованием выкупа;

kph.sys - 
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: gamol6n6p2p4c3ad7gxmx3ur7wwdwlywebo2azv3vv5qlmjmole2zbyd.onion

Email: rook@onionmail.org, securityRook@onionmail.org
BTC: 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: bec9b3480934ce3d30c25e1272f60d02 

SHA-1: 104d9e31e34ba8517f701552594f1fc167550964

SHA-256: f87be226e26e873275bde549539f70210ffe5e3a129448ae807a319cbdcf7789

Vhash: 01503e0f7d1019z41z1dz1011z1fz

Imphash: 1a1ed0f2924f52793563f4386019f927

---

MD5: 6d87be9212a1a0e92e58e1ed94c589f9

SHA-1: 19ce538b2597da454abf835cff676c28b8eb66f7

SHA-256: c2d46d256b8f9490c9599eea11ecef19fde7d4fdd2dea93604cee3cea8e172ac

Vhash: 04503e6f1d50d8z6b1z2dz3011z1fz

Imphash: 5248c5944a1d330e94f2cebc3ead99ee

---

MD5: 4f7adc32ec67c1a55853ef828fe58707

SHA-1: 36de7997949ac3b9b456023fb072b9a8cd84ade8

SHA-256: 96f7df1c984c1753289600f7f373f3a98a4f09f82acc1be8ecfd5790763a355b

Vhash: 056096050d05050707751019z11z1dz13z1fz

Authentihash: c705ffc62b3228dffb44df9b7be916d53a0a301f86198343d4e157a1296b78f6

Imphash: 775f9faaae07b00bba9f11f0542ae8fa

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Rook Ransomware - ноябрь 2021

NightSky Ransomware - январь 2022

Pandora Ransomware - март 2022

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Статья-исследование SentinelOne от 23 декабря 2021:

New Rook Ransomware Feeds Off the Code of Babuk >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Message + Message
 Write-up, Topic of Support 

Added later: NightSky Ransomware – just a Rook RW fork

 Thanks: 
 Zack Allen, Michael Gillespie 
 Andrew Ivanov (article author)
 Dmitry Bestuzhev, Jiří Vinopal
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.