BlackSun

BlackSun Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп 10.000 Euro в криптовалюте Monero, чтобы вернуть файлы. Оригинальное название: BlackSun. На файле написано: BlackSun.ps1. 
---
Обнаружения:
DrWeb -> PowerShell.Encoder.17

ALYac -> Trojan.Ransom.Powershell

Avira (no cloud) -> TR/Ransom.Blacksun.A

BitDefender -> Trojan.Agent.FNDH
ESET-NOD32 -> PowerShell/Filecoder.AN
Kaspersky -> Net-Worm.PowerShell.BlackSun.a
Malwarebytes -> 
Microsoft -> Trojan:Win32/Vigorf.A
Rising -> Ransom.BlackSun/PS!1.D9AA (CLASSIC)
Symantec -> Trojan.Gen.NPE
Tencent -> Net.Worm-net.Blacksun.Loik
TrendMicro -> TROJ_FRS.0NA103J421
---

© Генеалогия: ??? >> BlackSun

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале октября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .BlackSun

Записка с требованием выкупа называется: BlackSun_README.txt

Содержание записки о выкупе:

*** BlackSun PROJECT ***

All your data has been encrypted. Documents, photos, databases, backups.

HOW CAN I GET MY DATA BACK?

Your data is not destroyed.

your data are however encrypted with SSL encryption, the only way to decrypt them is to have the decryption code and software.

don't try to decrypt the files by yourself, you will damage them and make the recovery impossible.

HOW CAN I GET THE DECRYPTION SOFTWARE?

To get the software you will have to pay a certain amount of money. (10.000 euro in Monero Cryptocurrency)

You need to contact us at this email: bsprj1020@protonmail.com and we will tell you how to pay. You have 10 days starting from now.

Перевод записки на русский язык:

*** BlackSun ПРОЕКТ ***

Все ваши данные зашифрованы. Документы, фото, базы данных, резервные копии.

КАК Я МОГУ ВОССТАНОВИТЬ ДАННЫЕ?

Ваши данные не уничтожены.

ваши данные только зашифрованы с помощью SSL-шифрования, единственный способ их расшифровать - это иметь код дешифрования и программу.

не пытайтесь расшифровать файлы сами, вы повредите их и сделаете восстановление невозможным.

КАК Я МОГУ ПОЛУЧИТЬ ПРОГРАММУ ДЛЯ РАСШИФРОВКИ?

Для получения программы вам надо заплатить определенную сумму денег. (10.000 евро в криптовалюте Monero)

Вам надо связаться с нами по этому email: bsprj1020@protonmail.com, и мы расскажем, как заплатить. У вас есть 10 дней, начиная с этого времени.

Скриншоты, демонстрирующие процесс выполнения вредоносных действий, включая шифрование файлов. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Использует PowerShell для совершения вредоносных действий. 

Список типов файлов, подвергающихся шифрованию:
.3ds, .3fr, .3pr, .7z, .ab4, .ac2, .accdb, .accde, .accdr, .accdt, .acr, .adb, .agd1, .ai, .ait, .apj, .arw, .asp, .awg, .backup, .backupdb, .bak, .bdb, .bgt, .bik, .bkp, .blend, .bmp, .bpw, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfp, .cgm, .cib, .cls, .cmt, .cpi, .cr2, .craw, .crt, .crw, .csh, .csl, .csv, .dac, .DATA, .db3, .dbf, .db-journal, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .der, .design, .dgc, .djvu, .dng, .doc, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dwg, .dwl, .dxb, .edb, .erbsql, .erf, .exf, .exp, .FAD, .fdb, .ffd, .fff, .fh, .fhd, .FORM, .fpx, .fxg, .gray, .grey, .gry, .hbk, .ibank, .ibd, .ibz, .idx, .iiq, .incpas, .jpeg, .jpg, .kdbx, .kpdx, .ldf, .mdb, .mdc, .mdf, .mef, .mfw, .mmw, .moneywell, .mos, .mpg, .mrw, .myd, .ndd, .nef, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .nwb, .nx1, .nx2, .nyf, .odb, .odf, .odg, .odm, .odp, .ods, .odt, .orf, .otg, .oth, .otp, .ots, .ott, .p12, .p12, .p7b, .p7c, .pat, .pcd, .pdf, .pef, .pfx, .php, .png, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .PROG, .psafe3, .psd, .ptx, .ra2, .raf, .rar, .raw, .rdb, .rtf, .rw2, .rwl, .rwz, .s3db, .sas7bdat, .sav, .sd0, .sd1, .sda, .sdf, .sldm, .sldx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srw, .st4, .st5, .st6, .st7, .st8, .stc, .std, .sti, .stw, .stx, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .wb2, .x3f, .xla, .xlam, .xll, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .ycbcra, .zip (231 расширение). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускаемые директории и файлы: 

"AppData", "Application Data", "AppCache", "Temporary Internet Files", "INetCache", "ProgramData", "Program Files", "Microsoft", "Chrome", "ConnectedDevicesPlatform", "winnt", "boot", "Packages", "Mozilla", "Recycle", "setup", "install", "Thumbs.db", "Thumb.db", "temp", "tmp", "System Volume Information", "Microsoft", "Windows", "BlackSun", "x86"

Уничтожает все доступные локальные и внешние бэкапы, запрещает возобновление. Уничтожает файлы бэкапов следующих типов: 

.backup, .bco, .bkf, .bks, .dem, .gho, .gho, .iv2i, .tib, .tibx, .vbk, .vbm, .vhdx .vib, .vrb 

Файлы, связанные с этим Ransomware:
BlackSun.ps1 - название вредоносного файла;

BlackSun_README.txt - название файла с требованием выкупа; 

ioq3v72yf.dll - случайное название вредоносного файла; 

blacksun.jpg - изображение, заменяющее обои Рабочего стола. 

BlackSun_DRIVE_LOCAL_C

BlackSun_FILESON_LOCAL_C

BlackSun_BACKUPS_LOCAL_

BlackSun_TMPALL

BlackSun.log

BlackSun.log.zip

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Public\pictures\blacksun.jpg

C:\Users\User\AppData\Local\Temp\BlackSun_DRIVE_LOCAL_C

C:\Users\User\AppData\Local\Temp\BlackSun_FILESON_LOCAL_C

C:\Users\User\AppData\Local\Temp\BlackSun_TMPALL

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: bsprj1020@protonmail.com
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 3ebab71cb71ca5c475202f401de008c8

SHA-1: e0afcf804394abd43ad4723a0feb147f10e589cd

SHA-256: e5429f2e44990b3d4e249c566fbf19741e671c0e40b809f87248d9ec9114bef9

Vhash: 2f04266c495dff557609a6b9b89dbefa

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 Petrovic
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.