HarpoonLocker

HarpoonLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-1024, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На исполняемом файле может быть написано: Locker.exe и Update Runner Service. Написан на языке программирования: C#. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.34551
BitDefender -> Gen:Trojan.Heur.DNP.bm0@a0CFKJi
ESET-NOD32 -> A Variant Of MSIL/Filecoder.ALQ
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Encoder.gen
Malwarebytes -> Trojan.Winlock.MSIL.Generic
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Rising -> ***
Symantec -> ML.Attribute.HighConfidence
Tencent -> Msil.Trojan.Encoder.Dyqt
TrendMicro -> Ransom_Encoder.R002C0WKL21
---

© Генеалогия: Salma ? >> HarpoonLocker

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

К зашифрованным файлам добавляется расширение: .locked


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 


Активность этого крипто-вымогателя была в первой половине 2021 г. и продолжилась в ноябре 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: restore-files.txt

Записка от 10 октября 2021 г.

Содержание записки о выкупе:

- Hello - 

What happened?

All of your important files have been encrypted and all sensitive data was stolen.

The only way to restore your files and keep your data from going public is to contact us.

After a payment has been made you will be given access to decryption software.

As a quarantee we will decrypt 3 files for free.

If you don't contact us within 72 hours the price will be doubled.

Instructions

 - Download qTOX messanger from https://qtox.github.io/

 - Send message to this Tox ID: 3728E933284CE638D06FCF1CBE921096E102508BD370D6D23137D3271EE57***************

 Your message should contain your Unique Key: 003234749738607*****

Перевод записки на русский язык:

- Привет -

Что случилось?

Все ваши важные файлы зашифрованы, а все конфиденциальные данные украдены.

Единственный способ восстановить ваши файлы и предотвратить разглашение ваших данных - это связаться с нами.

После оплаты вам будет предоставлен доступ к программе для расшифровки.

В качестве гарантии мы бесплатно расшифруем 3 файла.

Если вы не свяжетесь с нами в течение 72 часов, цена будет удвоена.

инструкции

  - Загрузите мессенджер qTOX с https://qtox.github.io/

  - Отправьте сообщение на этот идентификатор Tox: 3728E933284CE638D06FCF1CBE921096E102508BD370D6D23137D3271EE57***************

  Ваше сообщение должно содержать ваш уникальный ключ: 003234749738607*****

Записка от 18 ноября 2021 г.

Содержание записки о выкупе:

What happened? 

All of your important files have been encrypted and all sensitive data was stolen. 

The only way to restore your files and keep your data from going public is to contact us. 

After a payment has been made you will be given access to decryption software. 

As a quarantee we will decrypt 3 files for free. If you don't contact us within 72 hours the price will be doubled. 

Instructions

- Download qTOX messanger from https://qtox.github.io/ 

- Send message to this Tox ID: 040068DA8E9AF9B3C791CE8E21B47C3E35D29BF283529C84A0167A57B5CCE***************

- Alternatively you can send an email to this address: harpoonlocker@onionmail.com Your message should contain your Unique Key: 910505774972585*****

Перевод записки на русский язык:

Что случилось?

Все ваши важные файлы зашифрованы, а все конфиденциальные данные украдены.

Единственный способ вернуть ваши файлы и предотвратить разглашение ваших данных - это контакт с нами.

После оплаты вам будет предоставлен доступ к программе для расшифровки.

В качестве гарантии мы бесплатно расшифруем 3 файла. Если вы не свяжетесь с нами в течение 72 часов, цена будет удвоена.

Инструкции

- Загрузите мессенджер qTOX с https://qtox.github.io/

- Отправьте сообщение на этот Tox ID: 040068DA8E9AF9B3C791CE8E21B47C3E35D29BF283529C84A0167A57B5CCE***************

- В качестве альтернативы вы можете отправить email на этот адрес: harpoonlocker@onionmail.com. Ваше сообщение должно содержать ваш уникальный ключ: 910505774972585*****

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
restore-files.txt - название файла с требованием выкупа;
Locker.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы: 
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: harpoonlocker@onionmail.com 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 1d2b8fec867dc55d7dbf4e8e939624e9

SHA-1: f1f7e169bf2ee992ebc367cc4da7e43c8d3db956

SHA-256: fcbcb01f4237a4462a2204d08fb1a4613f41d89eaf765f456463d7fa45e7d260

Vhash: 23403655151180aa1e1221c1

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 27 ноября 2021:

Расширение: .locked

Записка: restore-files.txt

Файл: Locker.exe

Результаты анализов: VT + HA + TG + AR + IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34615

BitDefender -> Trojan.Ransomware.Salma.A

ESET-NOD32 -> A Variant Of MSIL/Filecoder.ALQ

Microsoft -> Ransom:MSIL/HarpoonLocker.PA!MTB

TrendMicro -> Ransom_HarpoonLocker.R002C0DKR21

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Idan Battat (Intezer), quietman7 (BleepingComputer)
 Andrew Ivanov (article author) 
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.