Fake WordPress Crypter

AzzEncrypt Ransomware

Fake WordPress Crypter Ransomware

(фейк-шифровальщик, вымогатель) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель делает вид, что шифрует данные на сайтах WordPress с помощью AES+RSA, а затем в отображаемых уведомлениях пытается обманом выманить у владельцев сайтов выкуп в 0.1 BTC за файлы. Сообщение сопровождается таймером отсчета времени, чтобы пострадавшие поторопились. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения: 
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Symantec -> 
Tencent -> 
TrendMicro -> 
---
© Генеалогия: ??? >> AzzEncrypt (Fake WordPress Crypter)

Сайт "ID Ransomware" идентифицирует это как Fake WordPress Crypter. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Файлы на атакованных сайтах не зашифрованы, но имеют статус "null" и неопубликованы, потому не могут быть отображены на сайте. 

Записка с требованием выкупа показана на скриншоте: 

Содержание записки о выкупе:

SITE ENCRYPTED

7d 10h 21m 9s

FOR RESTORE SEND 0.1 BITCOIN: 3BkiGYFh6QtjtNCPNNjGwszoqqCka2SDEc

(create file on site /unlock.txt with transaction key inside)

Перевод записки на русский язык:

САЙТ ЗАШИФРОВАН 

7д 10ч 21м 9с 

ДЛЯ ВОССТАНОВЛЕНИЯ ОТПРАВИТЬ 0.1 БИТКОИН: 3BkiGYFh6QtjtNCPNNjGwszoqqCka2SDEc

(создать файл на сайте /unlock.txt с ключом транзакции внутри)

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Вероятно, злоумышленники вошли в систему как администраторы на сайте, либо путем подбора пароля, либо путем получения украденных учетных данных на рынках Даркнета. Судя по количеству сайтов, затронутых этой атакой (291 штук), это не была единичная атака. Скорее похоже на более широкую кампанию, направленную против сайтов на платформе WordPress. 

Для информации: 

Другие методы распространения вредоносного ПО и проведения последующей атаки: путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
azz_encrypt.php - файл вымогателя (плагин WordPress);

unlock.txt - название файла с ключом транзакции внутри.

Плагин WordPress, используемый для отображения заметок о выкупе и отсчета оставшегося времени, показан на следущем скриншоте. 

Чтобы восстановить сайт, нужно удалить этот плагин и запустить команду для повторной публикации сообщений и страниц. После этого сайт вернётся к своему нормальному состоянию.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: 3BkiGYFh6QtjtNCPNNjGwszoqqCka2SDEc

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, BleepingComputer
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.