WsIR

WsIR Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: WsIR1.1(1).exe.

---
Обнаружения:
DrWeb -> Trojan.Encoder.35362
BitDefender -> Gen:Variant.Symmi.97294
ESET-NOD32 -> Win32/Filecoder.OLA
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen

Kingsoft -> Win32.Troj.Generic.wj.(kcloud)

Lionic -> Trojan.Win32.Kolovorot.lpUa

Malwarebytes -> PUP.Optional.ChinAd
Microsoft -> TrojanDownloader:Win32/Emotet!ml
Rising -> Trojan.Generic@AI.99 (RDML:lW*

Symantec -> ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Filecoder.Syhu
TrendMicro -> TROJ_FRS.0NA103EP22
---

© Генеалогия: ??? >> WsIR

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в середине мая 2022, но дата компиляции — 10 апреля 2022 г.  Ориентирован на китайскоязычных пользователей, ничего неизвестно о  распространении по всему миру. Судя по используемому значку 易 основан на китайском ПО Easy Language Green Edition. 

К зашифрованным файлам добавляется расширение: .WsIR

Файлы могут быть зашифрованы повторно и получить двойное расширение: .WsIR.WsIR

Записка с требованием выкупа написана на экране блокировки: 

Содержание записки о выкупе:

现北京时间：2022年5月22日8时21分21秒你是该时间段中的此勒索！

Hello,我的电脑为什么会出现这个？

您现在你的文件都已经被加密了！

为什么会被加密？因为你点开了软件，你无法解密你的文件，除非获得正确秘钥！

如何联系我？

QQ联系：3384356874

QQ邮箱联系：3384356874@qq.com

您需要支付的赎金为下！

请敬情享受吧！

RMB：176

您的Key：

PHAKDILPDFJFPGNKGDHIPPLKJBAFBALMGAFBCHPAPCCOPCNOPNINACJADPFKAGLAOODKPHEHGIBPGCIB

OABNNJCGJJJPGCKLACGLHICBNMANPODPDBMFFKDOFELHOIAEANGAOAEPADODPCFGCDLLDNELAOHFJEID

PDMKAAGNEEKMNNCDIHPMBGNPHAIAFFHPMFADGFEMPGNNOOPHGEPHGGPGDAFANAGGCCNDHGHCOPKCMOFH

PCMCIIAKAHHMIBGMDKAGPLILKPAPKJJCPFLOIPCFPKFELLAKBCGIKFAPENAKIOFHLJJAIHAMKIOMILCD

AGFANKNFFMIPJMOFMKPLELBCOJALHHKIEFPCPNMCGANBLDALGHLLHDJPJBDFGMANKNAEJJHKAPNBFFMA

JLMBJLJPNEAFACOPPIONFJGHGLBDCPHKABCFLJMLDKNDPAHOJNCEONEMPHGLOIFEFJ

↑这个是你唯一的解密秘钥，如果你丢失了，你将永远不能解密你的文件！

如果你强制关机，你将受到严厉的惩罚，您不能使用任何手段关闭本程序！

绿色的是你的重要数据！

Key： ***

Перевод записки на русский язык:

Сегодня 22 мая 2022 года, по пекинскому времени в 8:21:21 вы атакованы ransomware!

Привет, почему это появилось на моем компьютере?

Теперь ваши файлы зашифрованы!

Почему они зашифрованы? Запустив программу, вы не сможете расшифровать файлы, если не получите правильный ключ!

Как связаться со мной?

Контакт QQ: 3384356874

Контакт QQ email: 3384356874@qq.com

Вам нужно заплатить выкуп!

Наслаждайтесь!

176 юаней

Твой ключ: 

***

Это ваш единственный ключ дешифрования, если вы его потеряете, то никогда не сможете расшифровать свои файлы!

Если вы захотите завершите работу, вы будете строго наказаны, и не сможете закрыть эту программу ни в коем случае!

Зеленый код важен для ваших данных!

Ключ: ***

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
WsIR1.1(1).exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Run\WsIR

См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: 3384356874@qq.com

QQ: 3384356874
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: c76aecc1eb0b47fc261a80b9fc06fb75

SHA-1: 242f3cce8400a77ed62c99fe6f56e1d8b7cfa5b4

SHA-256: 3bae281a122628561deb145beffcb3b2c1b8ab51e0c96818ef7a1203738af5d4

Vhash: 085046655d555060204005200917z30e5z32z982z120a7z

Imphash: 4ffd26d581651ee9980129d50bc32409

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 Petrovic, Jirehlov Solace
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.