Blaze

Blaze Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Blaze Ransomware. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34363
BitDefender -> Generic.Ransom.Babuk.!s!.G.63351AD4
ESET-NOD32 -> A Variant Of Win32/Filecoder.Babyk.A
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Malware.AI.3155384457
Microsoft -> Ransom:Win32/Babuk.MAK!MTB
Rising -> Ransom.Babuk!1.D7A0 (CLOUD)
Tencent -> Malware.Win32.Gencirc.11e24979
TrendMicro -> Ransom.Win32.BABUK.SMRD1
---

© Генеалогия: Babuk (modified) >> Blaze

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине-конце декабря 2021 г. и продолжилась в январе 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .blaze

В конец каждого зашифрованного файла добавляется маркер "penetrated by blaze ransomware!!"

Записка с требованием выкупа называется: How To Decrypt.txt

Содержание записки о выкупе:

Blaze Ransomware

Your data has been stolen and encrypted.

You can communicate with us with your privacy guaranteed using https://tox.chat/download.html

Our TOX: 35F36AF07A7FD5232EB10F69DB4A6FB4AFA54A88357F0CD23816A6756FAA6F1E6462546B1727

or mail: blazesupp@protonmail.com

If you choose to ignore us and not pay the ransom, all stolen data will be published on the TOR website.

hxxx://imugmohnfb6akqz7jb6rqjusiwgnthjgm37mjygondgkwwyw3hwudkqd.onion

Caution!

Do not modify the encrypted files, otherwise you may lose them permanently.

Перевод записки на русский язык:

Blaze Ransomware

Ваши данные украдены и зашифрованы. 

Вы можете общаться с нами с вашей частной гарантией, используя https://tox.chat/download.html.

Наш TOX: 35F36AF07A7FD5232EB10F69DB4A6FB4AFA54A88357F0CD23816A6756FAA6F1E6462546B1727 

или почта: blazesupp@protonmail.com

Если вы решите игнорировать нас и не платить выкуп, все украденные данные будут опубликованы на сайте TOR.

hxxx://imugmohnfb6akqz7jb6rqjusiwgnthjgm37mjygondgkwwyw3hwudkqd.onion

Осторожно!

Не изменяйте зашифрованные файлы, иначе вы можете потерять их безвозвратно.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов с помощью команды: 

/c vssadmin.exe delete shadows /all /quiet

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускаемые типы файлов: 

.blaze

.exe

.dll

Пропускаемые директории и файлы: 

AppData

Boot

Windows

Internet Explorer

Google

Opera

Opera Software

Mozilla

Mozilla Firefox

ProgramData

All Users

bootmgr

ntldr

#recycle

ADMIN$

Файлы, связанные с этим Ransomware:
How To Decrypt.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://imugmohnfb6akqz7jb6rqjusiwgnthjgm37mjygondgkwwyw3hwudkqd.onion

Email-1: blazesupp@protonmail.com

Email-2: gosupp@email.cz
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 8373085c527b21c1b76748d65aac4d19

SHA-1: 9f87288ce3c3dcb182bb468a348813f08be3b42b

SHA-256: 25835a890a218fd26bfd8b23696576402b5eb8a4c9af4a51529e14c4f00a9cce

Vhash: 0840565d1555155098z391z2dz33z1fz

Imphash: 202fa14f574c71c2f95878e40a79322d

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: a0e06b0687764ee9a27bc9f02e683315

SHA-1: c866a2cf7ca91ef993178b9dfcb2e5dbd89a020f

SHA-256: 80c58ad933073630a37ad8d78739807b1f4b6f5f65900c59c8424b5df11c632b

Vhash: 0840565d1555155098z391z2dz33z1fz

Imphash: 202fa14f574c71c2f95878e40a79322d

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 10 января 2022:

Расширение: .blaze

Записка: How To Decrypt.txt

Email: gosupp@email.cz

Другие образцы см. на сайте BA:

https://bazaar.abuse.ch/browse/tag/blaze/

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support 
 * 

 Thanks: 
 Andrew Ivanov (article author)
 quietman7
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.