BlockZ Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
---
Обнаружения:
DrWeb -> ***
BitDefender -> Gen:Variant.Barys.37982
ESET-NOD32 -> A Variant Of MSIL/GenKryptik.FQWI
Kaspersky -> UDS:Trojan.MSIL.Quasar.gen
Malwarebytes -> Malware.AI.4197098647
Microsoft -> Ransom:Win32/Babuk.MAK!MTB
Rising -> Malware.Obfus/MSIL@AI.100 (RDM.MSIL:Wx*
Tencent -> Msil.Trojan.Quasar.Dxmv
TrendMicro -> TROJ_GEN.R002C0PDD22
---
© Генеалогия: Babuk (modified) + ZZZ Locker >> BlockZ, 7-language Locker
Сайт "ID Ransomware" это пока не идентифицирует.
Информация для идентификации
Активность этого крипто-вымогателя была в начале апреля 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
К зашифрованным файлам добавляется расширение: .blockZ
Записка с требованием выкупа называется: How To Restore Your Files.txt
Содержание записки о выкупе:
Перевод записки на русский язык:
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Удаляет теневые копии файлов с помощью команды:
Записка с требованием выкупа называется: How To Restore Your Files.txt
All your important files are encrypted!
There is only one way to get your files back:
1. Contact with us
2. Send us 1 any encrypted your file and your personal key
3. We will decrypt 1 file for test(maximum file size - 1 MB), its guarantee what we can decrypt your files
4. Pay
5. We send for you decryptor software
We accept Bitcoin
Attention!
Do not rename encrypted files.
Do not try to decrypt using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price(they add their fee to our)
Contact information: blockzsupport@protonmail.com
Your personal id:
***
Перевод записки на русский язык:
Все ваши важные файлы зашифрованы!
Есть только один способ вернуть ваши файлы:
1. Свяжитесь с нами
2. Отправьте нам 1 любой зашифрованный файл и ваш персональный ключ
3. Мы расшифруем 1 файл для теста (максимальный размер файла - 1 МБ), это гарантия того, что мы сможем расшифровать ваши файлы
4. Оплата
5. Мы высылаем вам программу для расшифровки
Мы принимаем Биткойн
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровывать с помощью сторонних программ, это может необратимо повредить данных.
Расшифровка ваших файлов с помощью третьих лиц приведет к увеличению цены (они добавляют свою комиссию к нашей)
Контактная информация: blockzsupport@protonmail.com
Ваш личный id:
***
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Удаляет теневые копии файлов с помощью команды:
vssadmin.exe delete shadows /all /quiet
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
How To Restore Your Files.txt - название файла с требованием выкупа;
Noopen.exe, updatemicsosoftv2.exe - названия вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: blockzsupport@protonmail.com
BTC: -
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
How To Restore Your Files.txt - название файла с требованием выкупа;
Noopen.exe, updatemicsosoftv2.exe - названия вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: blockzsupport@protonmail.com
BTC: -
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
MD5: 1a21d4620a25968ee64206d524827691
SHA-1: 801e687c968b23c57882042fe80cad42aea81fb2
SHA-256: 856d9e698f240a21db57f404fea33ee65cd0458f31a9d0fca7044962204484c9
Vhash: 075066655d1515656az8c!z
Imphash: 00be6e6c4f9e287672c8301b72bdabf3
Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support *
Внимание! Предполагаю, что файлы можно разблокировать и вернуть. Специалистам антивирусных компаний, которые много лет занимаются расшифровкой файлов, не составит труда восстановить файлы после этого и предыдущих вариантов шифровальщика.
Thanks: PCrisk Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
