H0lyGh0st

HolyGhost Ransomware

H0lyGh0st Ransomware

HolyGhost Doxware

Aliases: HolyLocker, SiennaPurple, SiennaBlue

(шифровальщик-вымогатель, публикатор) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: HolyGhost. На файлах может быть написано: BTLC_C.exe, HolyRS.exe, HolyLock.exe, BLTC.exe. 

Ранний вариант BTLC_C.exe (июнь - октябрь 2021) был написан на C++, а следующие варианты HolyRS.exe, HolyLock.exe и BLTC.exe написаны на Go. 

Для Windows x64. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.35578
BitDefender -> Trojan.Generic.31301860
ESET-NOD32 -> WinGo/Filecoder.AX
Kaspersky -> Trojan-Ransom.Win32.Mauri.i
Microsoft -> Ransom:Win32/Filecoder!MSR
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Lmuo
TrendMicro -> Ransom_Filecoder.R002C0DGE22
---

© Генеалогия: H0lyGh0st 2021 > H0lyGh0st 2022

Сайт "ID Ransomware" идентифицирует это как H0lyGh0st. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в июне 2021 г. и продолжалась по июнь 2022. Ориентирован на англоязычных пользователей, может распространяться по всему миру. По настойчиво продвигаемому во все СМИ мнению Microsoft Threat Intelligence Center этот вымогатель распространяется из Северной Кореи группой DEV-0530 (название от Microsoft), в некоторой степени связанной с другой северокорейской группой PLUTONIUM. 

К зашифрованным файлам добавляется расширение: .h0lyenc

Записка с требованием выкупа называется: FOR_DECRYPT.html

Содержание записки о выкупе:

Please Read this text to decrypt all files encrypted.

Don't worry, you can return all of your files.

Or install tor browser and contact us with your id or company name(If all of pcs in your company are encrypted).

Our site : H0lyGh0stWebsite

Our Service

After you pay, We will send unlocker with decryption key

Attention!

1. Do not rename encrypted files.

2. Do not try to decrypt your data using third party software, it may cause permanent data loss.

3. Decryption of your files with the help of third parties may cause increase price.

4. Antivirus may block our unlocker, So disable antivirus first and execute unlocker with decryption key.

Перевод записки на русский язык:

Прочтите этот текст, чтобы расшифровать все зашифрованные файлы.
Не волнуйтесь, вы можете вернуть все свои файлы.
Или установите браузер Tor и свяжитесь с нами, указав свой id или название компании (если все компьютеры в вашей компании зашифрованы).
Наш сайт: H0lyGh0stWebsite
Наш сервис
После оплаты мы вышлем анлокер с ключом расшифровки
Внимание!
1. Не переименовывайте зашифрованные файлы.
2. Не пытайтесь расшифровать свои данные сторонними программами, это безвозвратно повредит данные.
3. Расшифровка ваших файлов с помощью третьих лиц увеличит стоимость.
4. Антивирус может заблокировать наш анлокер, поэтому сначала отключите антивирус и запустите анлокер с ключом расшифровки.

Записки и текст могут немного отличаться, в зависимости от того, какой компьютер зашифрован: в локальной сети компании или отдельный персональный. 

 

Вымогатели пишут на своем сайте, что они не будут продавать или публиковать данные своих жертв, если им заплатят. Но если жертва не заплатит, они опубликуют все.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
FOR_DECRYPT.html - название файла с требованием выкупа;
BTLC_C.exe, HolyRS.exe, HolyLock.exe, BLTC.exe, payload.exe, <random>.exe - разные варианты вредоносного файла H0lyGh0st. 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: matmq3z3hiovia3voe2tix2x54sghc3tszj74xgdy4tqtypoycszqzqd.onion

C2: 193.56.29.123

Email: H0lyGh0st@mail2tor.com
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: aa4e99b717bcb7e916148a469e69788a

SHA-1: 42fc554d8442a78a48dc624d3de59ae4515eed6d

SHA-256: 541825cb652606c2ea12fd25a842a8b3456d025841c3a7f563655ef77bb67219

Vhash: 0660d6655d65557575157az28!z

Imphash: c7269d59926fa4252270f407e4dab043

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

H0lyGh0st SiennaPurple (файл BTLC_C.exe) - июнь - октябрь 2021

H0lyGh0st SiennaBlue (HolyRS.exe) - октябрь - декабрь 2021

H0lyGh0st SiennaBlue (HolyLock.exe) - март - июнь 2022

H0lyGh0st SiennaBlue (BLTC.exe) - апрель - июнь 2022

Другие варианты, открытые для публичного анализа 15 июля 2021:

IOC: VT, IA + VT

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ранний вариант от 8 октября 2021:

Расширение: .h0lyenc

Содержание записки:

We are <HolyGhost>. 

All your important files are stored and encrypted. 

Do not try to decrypt using third party software, it may cause permanent data lose. 

To Decrypt all device, 

Contact us: H0lyGh0st@mail2tor.com or install tor browser and visit: 

matmq3z3hiovia3voe2tix2x54sghc3tszj74xgdy4tqtypoycszqzqd.onion

---

Файл проекта: M:\ForOP\attack(utils)\attack tools\Backdoor\powershell\btlc_C\Release\btlc_C.pdb

Файл EXE: BTLC_C.exe

Результаты анализа: VT + TG + IA

Обнаружения: 

DrWeb -> Trojan.Encoder.35593

BitDefender -> Gen:Heur.Bodegun.8

ESET-NOD32 -> Win32/Filecoder.OLY

Kaspersky -> HEUR:Trojan.Win32.Agentb.gen

Microsoft -> Trojan:Win32/SiennaPurple.A!dha

Rising -> Ransom.Agent!8.6B7 (CLOUD)

Tencent -> Win32.Trojan.Filecoder.Swva

TrendMicro -> TROJ_GEN.R002H01GE22

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Write-up, Topic of Support
 ***

 Thanks: 
 Microsoft Security Intelligence, BleepingComputer
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.