Rook

Rook Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритма AES-128 (режим ECB) с прерывистым шифрованием, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Rook. На файле написано: rook.exe или rook3.exe.
---
Обнаружения: 
DrWeb -> Trojan.MulDrop19.4927
BitDefender -> Generic.Ransom.Babuk.A.0FFC53E6
ESET-NOD32 -> Win64/Filecoder.Sodinokibi.A, Win64/Filecoder.Rook.A
Malwarebytes -> Ransom.Sodinokibi
Microsoft -> Ransom:Win32/RookCrypt.PA!MTB
Symantec -> Downloader
TrendMicro -> TROJ_GEN.R002C0PKR21, Ransom_RookCrypt.R002C0DL421
---

© Генеалогия: ✂ Sodinokibi + ✂ Babuk + ✂ из других >> Rook

Сайт "ID Ransomware" это идентифицирует как Rook. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .Rook

В более ранних вариантах использовалось расширение .Tower

Записка с требованием выкупа называется: HowToRestoreYourFiles.txt

Содержание записки о выкупе (ошибки в оригинальном тексте выделены красным цветом): 

-----------Welcome. Again. --------------------

[+]Whats Happen?[+]

Your files are encrypted,and currently unavailable. You can check it: all files on you computer has expansion robet.

By the way,everything is possible to recover (restore), but you need to follow our instructions. Otherwise, you cant return your data (NEVER).

[+] What guarantees?[+]

Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will not cooperate with us. Its not in our interests.

To check the file capacity, please send 3 files not larger than 1M to us, and we will prove that we are capable of restoring.

If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data,cause just we have the private key. In practise - time is much more valuable than money.

If we find that a security vendor or law enforcement agency pretends to be you to negotiate with us, we will directly destroy the private key and no longer provide you with decryption services.

You have 3 days to contact us for negotiation. Within 3 days, we will provide a 50% discount. If the discount service is not provided for more than 3 days, the files will be leaked to our onion network. Every more than 3 days will increase the number of leaked files.

Please use the company email to contact us, otherwise we will not reply.

[+] How to get access on website?[+] 

You have two ways:

1) [Recommended] Using a TOR browser!

a) Download and install TOR browser from this site:https://torproject.org/

b) Open our website:gamol6n6p2p4c3ad7gxmx3ur7wwdwlywebo2azv3vv5qlmjmole2zbyd.onion

2) Our mail box:

a)rook@onionmail.org

b)securityRook@onionmail.org

c)If the mailbox fails or is taken over, please open Onion Network to check the new mailbox

-------------------------------------------------------------------------------------------

!!!DANGER!!!

DONT try to change files by yourself, DONT use any third party software for restoring your data or antivirus solutions - its may entail damge of the private key and, as result, The Loss all data.

!!!!!!!

AGAIN: Its in your interests to get your files back. From our side, we (the best specialists) make everything for restoring, please should not interfere.

!!!!!!!

ONE MORE TIME: Security vendors and law enforcement agencies, please be aware that attacks on us will make us even stronger.

!!!!!!!

Перевод записки на русский язык:

-----------Добро пожаловать. Снова. --------------------

[+] Что случилось? [+]

Ваши файлы зашифрованы и теперь недоступны. Вы можете проверить это: все файлы на вашем компьютере имеют расширение robet.

Кстати, все можно вернуть (восстановить), но нужно следовать нашим инструкциям. Иначе вы не сможете вернуть свои данные (НИКОГДА).

[+] Какие гарантии? [+]

Это просто бизнес. Мы абсолютно не заботимся о вас и ваших сделках, кроме получения выгоды. Если мы не будем выполнять свою работу и обязательства - никто с нами не будет сотрудничать. Это не в наших интересах.

Чтобы проверить размер файла, пришлите нам 3 файла размером не более 1M, и мы докажем, что можем восстановить.

Если вы не будете сотрудничать с нашим сервисом - для нас это не имеет значения. Но вы потеряете свое время и данные, потому что только у нас есть закрытый ключ. На практике время гораздо дороже денег.

Если мы обнаружим, что поставщик средств безопасности или правоохранительное агентство выдает себя за вас, чтобы вести переговоры с нами, мы напрямую уничтожим закрытый ключ и больше не будем предоставлять вам услуги дешифрования.

У вас есть 3 дня, чтобы связаться с нами для переговоров. В течении 3-х дней предоставим скидку 50%. Если услуга скидки не предоставляется более 3 дней, файлы просочатся в нашу onion сеть. Каждые более 3 дней будет увеличиваться количество просочившихся файлов.

Используйте корпоративный адрес электронной почты, чтобы связаться с нами, иначе мы не ответим.

[+] Как получить доступ на сайт? [+]

У вас есть два пути:

1) [Рекомендуется] С помощью браузера TOR!

а) Загрузите и установите браузер TOR с этого сайта: https: //torproject.org/

б) Откройте наш сайт: gamol6n6p2p4c3ad7gxmx3ur7wwdwlywebo2azv3vv5qlmjmole2zbyd.onion

2) Наш почтовый ящик:

а) rook@onionmail.org

б) securityRook@onionmail.org

c) Если почтовый ящик выйдет из строя или будет захвачен, пожалуйста, откройте Onion Сеть, чтобы проверить новый почтовый ящик.

-------------------------------------------------- -----------------------------------------

!!!ОПАСНОСТЬ!!!

НЕ пытайтесь изменять файлы сами, НЕ используйте какую-либо стороннюю программу для восстановления ваших данных или антивирусные решения - это может повлечь за собой повреждение закрытого ключа и, как следствие, потерю всех данных.

!!!!!!!

СНОВА: В ваших интересах вернуть свои файлы. Со своей стороны мы (лучшие специалисты) делаем все для восстановления, просим не мешать.

!!!!!!!

ЕЩЕ ОДИН РАЗ: поставщики средств безопасности и правоохранительные органы, имейте в виду, что атаки на нас сделают нас еще сильнее.

!!!!!!!

Скриншоты с сайта вымогателей:

Скриншот с основного сайта

Скриншот со страницы сайта, направленного на банк в Казахстане. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов. 

➤ Шифрует блоки 0x10 в режиме ECB, пропуская затем 0x10 байтов, и добавляет 0xA18 в конце, включая исходный размер файла. 

Список типов файлов, подвергающихся шифрованию:
Многие популярные ти пы файлов, кроме тех, что в списках искючений. 

Наверняка среди зашифрованных будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр. 

Пропущенные директории: 

Program Files, Program Files (x86), AppData, Windows, Windows.old, Tor Browser, Internet Explorer, Google, Opera, Opera Software, Mozilla

Пропущенные файлы:

autorun.inf, boot.ini, bootfont.bin, bootsect.bak, bootmgr, bootmgr.efi, bootmgfw.efi, desktop.ini, iconcache.db, ntldr, ntuser.dat, ntuser.dat.log, ntuser.ini, thumbs.db

Файлы, связанные с этим Ransomware:
HowToRestoreYourFiles.txt - название файла с требованием выкупа;

kph.sys - 
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: gamol6n6p2p4c3ad7gxmx3ur7wwdwlywebo2azv3vv5qlmjmole2zbyd.onion

Email: rook@onionmail.org, securityRook@onionmail.org
BTC: 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: bec9b3480934ce3d30c25e1272f60d02 

SHA-1: 104d9e31e34ba8517f701552594f1fc167550964

SHA-256: f87be226e26e873275bde549539f70210ffe5e3a129448ae807a319cbdcf7789

Vhash: 01503e0f7d1019z41z1dz1011z1fz

Imphash: 1a1ed0f2924f52793563f4386019f927

---

MD5: 6d87be9212a1a0e92e58e1ed94c589f9

SHA-1: 19ce538b2597da454abf835cff676c28b8eb66f7

SHA-256: c2d46d256b8f9490c9599eea11ecef19fde7d4fdd2dea93604cee3cea8e172ac

Vhash: 04503e6f1d50d8z6b1z2dz3011z1fz

Imphash: 5248c5944a1d330e94f2cebc3ead99ee

---

MD5: 4f7adc32ec67c1a55853ef828fe58707

SHA-1: 36de7997949ac3b9b456023fb072b9a8cd84ade8

SHA-256: 96f7df1c984c1753289600f7f373f3a98a4f09f82acc1be8ecfd5790763a355b

Vhash: 056096050d05050707751019z11z1dz13z1fz

Authentihash: c705ffc62b3228dffb44df9b7be916d53a0a301f86198343d4e157a1296b78f6

Imphash: 775f9faaae07b00bba9f11f0542ae8fa

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Rook Ransomware - ноябрь 2021

NightSky Ransomware - январь 2022

Pandora Ransomware - март 2022

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Статья-исследование SentinelOne от 23 декабря 2021:

New Rook Ransomware Feeds Off the Code of Babuk >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Message + Message
 Write-up, Topic of Support 

Added later: NightSky Ransomware – just a Rook RW fork

 Thanks: 
 Zack Allen, Michael Gillespie 
 Andrew Ivanov (article author)
 Dmitry Bestuzhev, Jiří Vinopal
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.