BlockZ

BlockZ Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать на email вымогателей, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: blockZ Ransomware. На файле написано: Noopen.exe.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Gen:Variant.Barys.37982
ESET-NOD32 -> A Variant Of MSIL/GenKryptik.FQWI
Kaspersky -> UDS:Trojan.MSIL.Quasar.gen
Malwarebytes -> Malware.AI.4197098647
Microsoft -> Ransom:Win32/Babuk.MAK!MTB
Rising -> Malware.Obfus/MSIL@AI.100 (RDM.MSIL:Wx*
Tencent -> Msil.Trojan.Quasar.Dxmv
TrendMicro -> TROJ_GEN.R002C0PDD22
---

© Генеалогия: Babuk (modified) + ZZZ Locker >> BlockZ, 7-language Locker

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале апреля 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .blockZ

Записка с требованием выкупа называется: How To Restore Your Files.txt

Содержание записки о выкупе:

All your important files are encrypted!

There is only one way to get your files back:

1. Contact with us

2. Send us 1 any encrypted your file and your personal key

3. We will decrypt 1 file for test(maximum file size - 1 MB), its guarantee what we can decrypt your files

4. Pay

5. We send for you decryptor software

We accept Bitcoin

Attention!

Do not rename encrypted files.

Do not try to decrypt using third party software, it may cause permanent data loss.

Decryption of your files with the help of third parties may cause increased price(they add their fee to our)

Contact information: blockzsupport@protonmail.com

Your personal id:

***

Перевод записки на русский язык:

Все ваши важные файлы зашифрованы!

Есть только один способ вернуть ваши файлы:

1. Свяжитесь с нами

2. Отправьте нам 1 любой зашифрованный файл и ваш персональный ключ

3. Мы расшифруем 1 файл для теста (максимальный размер файла - 1 МБ), это гарантия того, что мы сможем расшифровать ваши файлы

4. Оплата

5. Мы высылаем вам программу для расшифровки

Мы принимаем Биткойн

Внимание!

Не переименовывайте зашифрованные файлы.

Не пытайтесь расшифровывать с помощью сторонних программ, это может необратимо повредить данных.

Расшифровка ваших файлов с помощью третьих лиц приведет к увеличению цены (они добавляют свою комиссию к нашей)

Контактная информация: blockzsupport@protonmail.com

Ваш личный id:

***

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов с помощью команды:

vssadmin.exe delete shadows /all /quiet

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
How To Restore Your Files.txt - название файла с требованием выкупа;
Noopen.exe, updatemicsosoftv2.exe - названия вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: blockzsupport@protonmail.com
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 1a21d4620a25968ee64206d524827691

SHA-1: 801e687c968b23c57882042fe80cad42aea81fb2

SHA-256: 856d9e698f240a21db57f404fea33ee65cd0458f31a9d0fca7044962204484c9

Vhash: 075066655d1515656az8c!z

Imphash: 00be6e6c4f9e287672c8301b72bdabf3 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

Внимание!
Предполагаю, что файлы можно разблокировать и вернуть. 
Специалистам антивирусных компаний, которые много 
лет занимаются расшифровкой файлов, не составит труда 
восстановить файлы после этого и предыдущих вариантов 
шифровальщика. 

 Thanks: 
 PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.