StopWarInUkraineLocker

StopWarInUkraine Ransowmare

StopWarInUkraineLocker

(шифровальщик-не-вымогатель, деструктор) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: StopWarInUkraine Ransowmare (в записке) и StopWarInUkraineLocker (в коде). На файле написано: lockuiransow.exe. 

---

Не нужно обольщаться и соглашаться с распространителем вредоносного файла. Совершенно не важны его намерения и текст на экране, пусть даже призывающие остановить войну с его точки зрения. Если файлы реально зашифрованы, а способ вернуть их не работает, то это такой же Ransomware и деструктор, причиняющий вред системе и файлам пользователей, как и многие другие. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.35256
BitDefender -> Trojan.GenericKD.48999801
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AQN
Kaspersky -> Trojan-Ransom.Win32.Encoder.qfl
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Casdet!rfn
Rising -> Ransom.FreeUkraine!1.DD84 (CLASSIC)

Symantec -> ML.Attribute.HighConfidence
Tencent -> Malware.Win32.Gencirc.11f20188
TrendMicro -> Ransom.MSIL.STOPWAR.THDBFBB
---

© Генеалогия: предыдущие варианты >> StopWarInUkraineLocker

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце апреля 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Конкретный адресат не указан. Вероятно распространяется из Польши, т.к. в коде есть текст на польском языке. 

К зашифрованным файлам добавляется расширение: .freeukraine

Записка с требованием написана на экране блокировки. Сначала появляется сообщение об ошибке, а после нажатия на кнопку "Continue" экран блокируется зелёным фоном с текстом требований. 

 

Содержание записки о выкупе:

StopWarInUkraine Ransowmare

Your all files in encrypted.

How to decrypt files??

Write "StopWarInUkraine" 10 times in the key box

You have a week to enter.

Stop war in ukraine. 

Перевод на русский язык (грамота оригинала сохранена): 

StopWarInUkraine Ransowmare

Все твои файлы в зашифрованы.

Как расшифровать файлы??

Пиши "StopWarInUkraine" 10 раз в ключ бокс.

У тебя неделя на ввод.

Стоп войне в Украине.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа; 

lockuiransow.pdb - файл проекта вымогателя; 
lockuiransow.exe - случайное название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\grzeg\source\repos\Stop War In Ukraine\lockuiransow\obj\Debug\lockuiransow.pdb

 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: cebcd8313ba1ac74b30bc1c81a3a3a8f

SHA-1: 529a5e8f55a418db2ea054dc17bd63eaf6603b99

SHA-256: 1fd2d0c7d504be306ecaaf6e852142ca053950c386e3fd6ee8a1f2138ed89312

Vhash: 225036556511908cc195020

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.