Cincoo

Cincoo Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп 6000$ в Monero, чтобы вернуть файлы. Оригинальное название: Cincoo. На файле написано: Cincoo.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.35063
BitDefender -> Gen:Variant.Doina.30220
ESET-NOD32 -> A Variant Of Win32/Filecoder.OJT
Kaspersky -> HEUR:Trojan-Ransom.Win32.Agent.gen
Malwarebytes -> Malware.AI.3948084152
Microsoft -> TrojanDownloader:Win32/Convagent!mclg
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Aisc
---

© Генеалогия: ??? >> Cincoo

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г.  Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: _enc

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

Some of your files unavailable

We wait our reward: 6000$

Payment method:

Monero : 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

After payment files will automatically restored

Contacts:

nm67p7a@mailfence.com

Перевод записки на русский язык:

Некоторые из ваших файлов недоступны

Ждём нашу награду: 6000$

Способ оплаты:

Монеро: 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

После оплаты файлы автоматически вернутся

Контакты:

nm67p7a@mailfence.com

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
Cincoo.pdb - название файла проекта; 

Cincoo.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\repos\Cincoo\Cincoo\Cincoo\Release\Cincoo.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: nm67p7a@mailfence.com
Monero (XMR): 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 7976be9650ff52c6d9900a10999b1aa3

SHA-1: fe28575b83718ac91e2e4dea643d0e897ef80b59

SHA-256: 9ccba9179e1e36fc5571738fb046617955e9d145116b2aa028e335e5d7153b99

Vhash: 045056655d15556az5a!z

Imphash: 830d812500c3679c26a817c662020cf5

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.