DarkRace

DarkRace Ransomware

Variants: DoNex Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: DarkRace, указано в записке. На файле написано: нет данных.

---
Обнаружения:
DrWeb -> Trojan.Encoder.38091; Trojan.Encoder.37626
BitDefender -> Gen:Heur.Ransom.Imps.1
ESET-NOD32 -> A Variant Of Win32/Agent.AEUZ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.FileCryptor; Generic.Malware/Suspicious
Microsoft -> Ransom:Win32/DarkTrace.MA!MTB
Rising -> Trojan.Generic@AI.99 (RDML:fqCEx***); Trojan.Generic@AI.100 (RDML:8/EjuW81***)
Tencent -> Malware.Win32.Gencirc.10bee8db; Malware.Win32.Gencirc.10beed96
TrendMicro -> Ransom.Win32.DARKRACE.THFOBBC; Ransom.Win32.DARKRACE.THJAABC
---

© Генеалогия: родство выясняется >> DarkRace > DoNex

Сайт "ID Ransomware" идентифицирует DarkRace как DoNex (с 9 июля 2024). 

Информация для идентификации

Активность этого крипто-вымогателя была в конце мая - начале июня 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших было замечено 10 компаний. 

К зашифрованным файлам добавляется расширение: .1352FF327

Фактически в расширении используется ID жертвы. 

Кроме того, зашифрованные файлы получают оригинальный значки. 

Записка с требованием выкупа называется: Readme.1352FF327.txt
Фактически в названии используется ID жертвы. 

Содержание записки о выкупе:

~~~ DarkRace ransomware ~~~

>>>> Your data are stolen and encrypted

The data will be published on TOR website if you do not pay the ransom 

Links for Tor Browser:

http://wkrlpub5k52rjigwxfm6m7ogid55kamgc5azxlq7zjgaopv33tgx2sqd.onion

>>>> What guarantees that we will not deceive you? 

We are not a politically motivated group and we do not need anything other than your money. 

If you pay, we will provide you the programs for decryption and we will delete your data. 

If we do not give you decrypters, or we do not delete your data after payment, then nobody will pay us in the future. 

Therefore to us our reputation is very important. We attack the companies worldwide and there is no dissatisfied victim after payment.

>>>> You need contact us and decrypt one file for free on these TOR sites with your personal DECRYPTION ID

Download and install TOR Browser https://www.torproject.org/

Write to a chat and wait for the answer, we will always answer you. 

You can install qtox to contanct us online https://tox.chat/download.html

Tox ID Contact: ************************

Mail (OnionMail) Support: darkrace@onionmail.org

>>>> Warning! Do not DELETE or MODIFY any files, it can lead to recovery problems!

>>>> Warning! If you do not pay the ransom we will attack your company repeatedly again!

Перевод записки на русский язык:

>>>> Ваши данные украдены и зашифрованы

Данные будут опубликованы на TOR сайте, если вы не заплатите выкуп.

Ссылки для Tor браузера:

http://wkrlpub5k52rjigwxfm6m7ogid55kamgc5azxlq7zjgaopv33tgx2sqd.onion

>>>> Какие гарантии, что мы вас не обманем?

Мы не политически мотивированная группа и нам не нужно ничего, кроме ваших денег.

Если вы заплатите, мы предоставим вам программы для расшифровки и удалим ваши данные.

Если мы не предоставим вам расшифровщики или не удалим ваши данные после оплаты, то в дальнейшем нам никто платить не будет.

Поэтому для нас очень важна наша репутация. Мы атакуем компании по всему миру и после оплаты не осталось недовольных жертв.

>>>> Вам нужно связаться с нами и бесплатно расшифровать один файл на этих TOR сайтах с вашим личным DECRYPTION ID.

Загрузите и установите браузер TOR https://www.torproject.org/.

Пишите в чат и ждите ответа, мы всегда Вам ответим.

Вы можете установить qtox, чтобы связаться с нами онлайн https://tox.chat/download.html.

Tox ID Contact: ************************

Почтовая поддержка (OnionMail): darkrace@onionmail.org

>>>> Внимание! НЕ УДАЛЯЙТЕ и НЕ ИЗМЕНЯЙТЕ файлы, это может привести к проблемам с восстановлением!

>>>> Внимание! Если вы не заплатите выкуп, мы снова нападем на вашу компанию!

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Завершает ряд процессов со всеми заданиями: 

msaccess, outlook, excel, onenote, winword, powerpnt, oracle, sql, mysq, wuauclt, veeam, chrome, firefox

Удаляет теневые копии файлов с помощью следующих команд, затем перезагружает компьютер: 

wmic shadowcopy delete /nointeractive

vssadmin Delete Shadows /All /Quiet

wmic shadowcopy delete /nointeractive

C:\Windows\SysWOW64\shutdown.exe shutdown -r -f -t 0

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Readme.1352FF327.txt - название файла с требованием выкупа;

c.exe - название вредоносного файла;

1.bat - вредоносный командный файл;

icon.ico - иконка для визуализации зашифрованных файлов. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\ProgramData\1.bat

C:\ProgramData\icon.ico

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://wkrlpub5k52rjigwxfm6m7ogid55kamgc5azxlq7zjgaopv33tgx2sqd.onion

Tox ID: ***

Email: darkrace@onionmail.org
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 1933fed76a030529b141d032c0620117 

SHA-1: c55c60a23f5110e0b45fc02a09c4a64d3094809a 

SHA-256: 0e60d49a967599fab179f8c885d91db25016be996d66a4e00cbb197e5085efa4 

Vhash: 025056655d55556168z63hz23z25z17z 

Imphash: f6a114275ec71b0f9e53c5ebb7d8d51d

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: cb1c423268b1373bde8a03f36f66b495 

SHA-1: 892cd69f889b25cb8dc11b0ac75c330b6329e937 

SHA-256: 74b5e2d90daaf96657e4d3d800bb20bf189bb2cf487479ea0facaf6182e0d1d3 

Vhash: 025056655d55556168z62hz23z25z17z 

Imphash: 8c15953665973cafd1715edd2e4e4284

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

DarkRace Ransomware - май 2023

DoNex Ransomware - февраль, март 2024

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 5 марта 2024:

Самоназвание: DoNex Ransomware

Сообщение >>

Расширение: .f58A66B51 

Записка: Readme.f58A66B51.txt

Email: donexsupport@onionmail.org

Tox ID: 2793D009872AF80ED9B1A461F7B9BD6209744047DC1707A42CB622053716AD4BA624193606C9

Tor-URL: hxxx://g3h3klsev3eiofxhykmtenmdpi67wzmaixredk5pjuttbx7okcfkftqd.onion

 

➤ Расположения файлов, как в DarkRace:

C:\ProgramData\1.bat

C:\ProgramData\icon.ico

Зашифрованные файлы получают оригинальный значки, такие же, как в DarkRace. 

Активность этого варианта была в середине февраля - начале марта ноября 2024 г. В числе пострадавших компании из следующих стран: Италия, США, Германия, Нидерланды, Бельгия, Чехия и другие.

IOC: VT, IA, TG

➤ Обнаружения: 

DrWeb -> Trojan.MulDrop26.34134

BitDefender -> Gen:Heur.Ransom.Imps.1

ESET-NOD32 -> A Variant Of Win32/Agent.AEUZ

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Malwarebytes -> Ransom.FileCryptor

Microsoft -> Ransom:Win32/DarkTrace.MKV!MTB

Rising -> Trojan.Generic@AI.100 (RDML:Wmdc/FuE/ws2zjWnI++q5w)

Tencent -> Malware.Win32.Gencirc.10bfb722

TrendMicro -> Ransom.Win32.DARKRACE.THCOFBD

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

8Base

8Base Ransomware

8Base Hacking Group

(шифровальщик-вымогатель, группа вымогателей) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES-256 (режим CBC), а затем требует выкуп в # BTC, чтобы вернуть файлы. Адрес BTC-кошелька передаётся через чат вымогателей. Оригинальное название: 8Base. Вымогатели дают пострадавшим только три дня на выкуп, а на четвертый они обещают опубликовать данные на своём сайте. 

Как оказалось, вымогатели используют два варианта: один от Phobos (ссылка), другой от RansomHouse. 

© Генеалогия: Phobos и другие >> 8Base (на языке .NET) ⇒ 8Base (на языке C)

Сайт "ID Ransomware" идентифицирует это как 8Base (c 23 мая 2023). 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в мае 2023 г., хотя началась в апреле 2023 г., судя по сообщениям на сайте в сети Tor.  

Используют метод двойного вымогательства: сначала похищают данные жертвы, потом шифруют их, затем требуют выкуп, угрожая опубликовать информацию. 

Ориентирован на англоязычных пользователей, может распространяться по всему миру. Цели: от крупных до мелких компаний, от юридических фирм до некоммерческих организаций в США, Бразилии, Великобритании, Австралии, Германии, Канаде и пр. 

К зашифрованным файлам добавляется расширение: .8Base

В зависимости от используемого варианта шаблон зашифрованного файла может быть следующим: 

.ID-XXXXXXXX.[<email>].8base

.id[XXXXXXXX-XXXX].[<email>].8base

Записки с требованием выкупа называются: info.txt, info.hta

Краткое содержание записки о выкупе:

Dear Management,

If you are reading this message, it means that: 

      - your network infrastructure has been compromised, 

      - critical data was leaked, 

      - files are encrypted

--------------------------------------------------------------------------

            The best and only thing you can do is to contact us 

              to settle the matter before any losses occurs.

Onion Site: ***246spahniugwkff2pad.onion/

Telegram Channel: ***eightbase

--------------------------------------------------------------------------

                                  1. THE FOLLOWING IS STRICTLY FORBIDDEN

1.1 EDITING FILES ON HDD.

                            Renaming, copying or moving any files 

                            could DAMAGE the cipher and 

                            decryption will be impossible. 

1.2 USING THIRD-PARTY SOFTWARE. 

                            Trying to recover with any software 

                            can also break the cipher and 

                            file recovery will become a problem.

1.3 SHUTDOWN OR RESTART THE PC. 

                            Boot and recovery errors can also damage the cipher. 

                            Sorry about that, but doing so is entirely at your own risk.

***

Начальная страница сайта вымогателей: 

Условия вымогателей:

Вымогатели о себе: 

Официальный логотип:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Кажется игнорирует страны СНГ. 

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки, добавляет свою копию в автозагрузку системы, отключает брандмауэр Windows. 

➤ Вырубает ряд процессов, мешающих шифрованию файлов:

agntsvc.exe, agntsvc.exe, agntsvc.exe, agntsvc.exe, dbeng50.exe, dbsnmp.exe, encsvc.exe, excel.exe, firefoxconfig.exe, infopath.exe, isqlplussvc.exe, msaccess.exe, msftesql.exe, mspub.exe, mydesktopqos.exe, mydesktopservice.exe, mysqld.exe, mysqld-nt.exe, mysqld-opt.exe, ocautoupds.exe, ocomm.exe, ocssd.exe, onenote.exe, oracle.exe, outlook.exe, powerpnt.exe, sqbcoreservice.exe, sqlagent.exe, sqlbrowser.exe, sqlservr.exe, sqlwriter.exe, steam.exe, synctime.exe, tbirdconfig.exe, thebat.exe, thebat64.exe, thunderbird.exe, visio.exe, winword.exe, wordpad.exe, xfssvccon.exe, 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
info.txt, info.hta - названия файлов с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Telegram Channel: hxxxs://t.me/eightbase

Twitter account: hxxxs://twitter.com/8BASEHOME

Tor-leak-site: 

hxxx://basemmnnqwxevlymli5bs36o5ynti55xojzvn246spahniugwkff2pad.onion/contact

Email: helpermail@onionmail.org

8filesback@onionmail.org

***@rexsdata.pro

Tor-URL: 

dexblog45.xyz

sentrex219.xyz

URLs (related addresses): 

admhexlogs25.xyz 

admlogs25.xyz 

admlog2.xyz 

blogstat355.xyz 

blogstatserv25.xyz 

dexblog.xyz 

dnm777.xyz 

serverlogs37.xyz 

wlaexfpxrs.org 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 9769c181ecef69544bbb2f974b8c0e10

SHA-1: 5d0f447f4ccc89d7d79c0565372195240cdfa25f

SHA-256: e142f4e8eb3fb4323fb377138f53db66e3e6ec9e82930f4b23dd91a5f7bd45d0

Vhash: 0250467d15151025z1006anz5fz

Imphash: 493c0587242c6f974644a1959b9764db

Еще варианты на основе Phobos:

C6BD5B8E14551EB899BBE4DECB6942581D28B2A42B159146BBC28316E6E14A64

518544E56E8CCEE401FFA1B0A01A10CE23E49EC21EC441C6C7C3951B01C1B19C

Подробный отчет можно скачать по ссылке:

www.hhs.gov/sites/default/files/8base-ransomware-analyst-note.pdf

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 13 ноября 2023:

Версия, написанная на языке C.

Расширение: .8base

Пример расширение: .id[ACFEEEC3-3483].[recovery8files@onionmail.org].8base

Записка: info.txt, info.hta

Email: recovery8files@onionmail.org

Статья от Fortinet >>

 

IOC: VT: MD5: 87d6d2488b1260e70f4042bf1f292529
Обнаружения:

DrWeb -> Trojan.Encoder.31543

ESET-NOD32 -> A Variant Of Win32/Filecoder.Phobos.C

Kaspersky -> HEUR:Trojan-Ransom.Win32.Phobos.vho

Microsoft -> Ransom:Win32/Phobos.PM

Symantec -> Ransom.Phobos!gm1

Tencent -> Trojan-Ransom.Win32.Phobos.fa

TrendMicro -> Ransom.Win32.CRYSIS.SMA

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 Added later: Overview by Fortinet (December 28, 2023)

 Thanks: 
 Threatlabz
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Alphaware

Alphaware Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп $300 в BTC, чтобы вернуть файлы. Оригинальное название: Alphaware, указано в записке. На файле написано: Alphaware.exe. Распространитель: группа хакеров Alpha group. 

---
Обнаружения:
DrWeb -> Trojan.MulDrop22.36004
BitDefender -> Trojan.GenericKD.67103465
ESET-NOD32 -> A Variant Of MSIL/ClipBanker.LR
Kaspersky -> HEUR:Trojan.MSIL.Fsysna.gen
Malwarebytes -> Trojan.ClipBanker.MSIL
Microsoft -> Trojan:Win32/Woreflint.A!cl
Rising -> Trojan.ClipBanker!8.5FB (CLOUD)
Tencent -> Msil.Trojan.Fsysna.Ngil

TrendMicro -> TROJ_GEN.R002H0AEI23
---

© Генеалогия: родство выясняется >> Alphaware

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине мая 2023 г. Сам файл скомпилирован в январе 2023, возможно, распространялся и раньше. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .Alphaware

Название зашифрованных файлов изменяется или кодируется. 

Записка с требованием выкупа называется: readme.txt

Содержание записки о выкупе:

~You have been infected with Alphaware~

>>>> Your data has been stolen and encrypted

You have 24 hours to send us $300 worth of bitcoin. If you do not pay the Ransom all your files, data, and personal information will released on the dark web. Failure to pay your ransom will also result with ALL of your files being deleted and your pc being wiped. We will also leak your Personal information to multiple discord servers and dox bin. All your information will forever be on the internet for people to download and exploit.

>>>> Where do I pay you?

Send us 0.01767966 BTC

To the bitcoin address: bc1qycxc367zcm5fpw9l9wtktufm38nlcnaumjfqcj

>>>> What happens when I pay?

When we receive payment we will send you your own personal decrypter to free your files and data. It is impossible to decrypt your files without our help.

>>>> You will need to contact us to receive your decrypter

Send us an email with proof of payment and we will respond with your decrypter.

You can email us @grwxzbny42fnyku4s@proton.me

>>>> Who are we?

We are Alpha, a group of skilled hackers whos purpose is to take control and power over people.

Перевод записки на русский язык:

~Вы заражены Alphaware~

>>>> Ваши данные были украдены и зашифрованы

У вас есть 24 часа, чтобы отправить нам биткойны на сумму $300. Если вы не заплатите выкуп, все ваши файлы, данные и личная информация будут опубликованы в дарк вебе. Неуплата выкупа также приведет к тому, что ВСЕ ваши файлы будут удалены, а ваш компьютер стерт. Мы также передадим вашу личную информацию на несколько серверов discord и dox bin. Вся ваша информация навсегда останется в Интернете, чтобы люди могли ее загружать и использовать.

>>>> Где я могу вам заплатить?

Отправь нам 0,01767966 BTC

На биткойн-адрес: bc1qycxc367zcm5fpw9l9wtktufm38nlcnaumjfqcj

>>>> Что будет, когда я заплачу?

Когда мы получим оплату, мы вышлем вам ваш личный дешифратор, чтобы освободить ваши файлы и данные. Без нашей помощи расшифровать ваши файлы невозможно.

>>>> Вам нужно будет связаться с нами, чтобы получить ваш расшифровщик

Отправьте нам email с доказательством оплаты, и мы ответим вам с вашим расшифровщиком.

Вы можете написать нам yf email @grwxzbny42fnyku4s@proton.me

>>>> Кто мы?

Мы Альфа, группа опытных хакеров, целью которых является контроль и власть над людьми.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки командами:

vssadmin delete shadows /all /quiet & wmic shadowcopy delete

vssadmin  delete shadows /all /quiet 

wmic  shadowcopy delete

bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
readme.txt - название файла с требованием выкупа;
Alphaware.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\User\Desktop\Alphaware.exe

C:\Users\User\AppData\Roaming\svchost.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: @grwxzbny42fnyku4s@proton.me

BTC: bc1qycxc367zcm5fpw9l9wtktufm38nlcnaumjfqcj

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

BlackShadow

BlackShadow Ransomware

Variants: BLackShadow, BLackSh, BlackStore, Black, ZeroCool, X, Off, ICE, Jarjets et al.

(шифровальщик-вымогатель) 
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов  Curve25519 и ChaCha20/8, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: Proxima >> BTC-azadi, BTC-azadi NG, Cylance, некоторые другие, BlackShadow с вариантами

Сайт "ID Ransomware" BlackShadow пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя и его вариатов была замечена в середине мая и продолжилась по июль 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам в разных вариантах добавляется одно из следующих расширений: 

.BLackShadow

.BLackSh

.BlackStore

.Black - был описан в статье BlackRecover Ransomware

и другие, см. варианты ниже. 

Записка с требованием выкупа в разных вариантах называется: 

BLackShadow_Help.txt

BLackSh_Help.txt

BlackStore_Help.txt

Black_Recover.txt - был описан в статье BlackRecover Ransomware

Содержание записки о выкупе:

ALL YOUR IMPORTANT FILES ARE STOLEN AND ENCRYPTED 

Black.Shadow2000@onionmail.org

Black.Shadow2000@cyberfear.com

Your ID : 3D559B**********

In subject line please write your personal ID

Warning!

Do not delete or modify encrypted files, it will lead to problems with decryption of files!

If you don't pay the ransom, the data will be published on our TOR darknet sites.

Keep in mind that once your data appears on our leak site, it could be bought by your competitors at any second, so don't hesitate for a long time. 

The sooner you pay the ransom, the sooner your company will be safe.

What guarantee is there that we won't cheat you?

Send us ONE small encrypted files to emails listed below.

We will decrypt these files and send them back to you as a proof.

Перевод записки на русский язык:

ВСЕ ВАШИ ВАЖНЫЕ ФАЙЛЫ украдены и зашифрованы

Black.Shadow2000@onionmail.org

Black.Shadow2000@cyberfear.com

Ваш ID: 3D559B************

В теме письма укажите свой личный ID.

Предупреждение!

Не удаляйте и не изменяйте зашифрованные файлы, это приведет к проблемам с расшифровкой файлов!

Если вы не заплатите выкуп, данные будут опубликованы на наших сайтах даркнета TOR.

Имейте в виду, что как только ваши данные появятся на нашем сайте утечек, их в любую секунду могут купить ваши конкуренты, поэтому долго раздумывать не стоит.

Чем раньше вы заплатите выкуп, тем скорее ваша компания будет в безопасности.

Какая гарантия, что мы вас не обманем?

Отправьте нам ОДИН небольшой зашифрованный файл на email-адреса, указанные ниже.

Мы расшифруем эти файлы и отправим их вам обратно в качестве доказательства.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки, очищает корзины, удаляет системные журналы. Чтобы помешать восстановлению данных после шифрования файлов BlackShadow очищает свободное место на диске. 

Может использовать легитимные приложения, например, Advanced IP Scanner для выполнения соответствующих задач. 

Список типов файлов, подвергающихся шифрованию
Выполняет избирательное шифрование. При этом полностью шифрует файлы с расширениями: 

.4dd, .4dl, .7z, .abcddb, .abs, .abx, .accdb, .accdc, .accde, .accdr, .accdt, .accdw, .accft, .adb, .ade, .adf, .adn, .adp, .alf, .arc, .ask, .back, .backup, .bak, .bdf, .btr, .cat, .cdb, .ckp, .cma, .cpd, .dacpac, .dad, .dadiagrams, .daschema, .db, .db2, .db3, .dbc, .dbf, .dbs, .db-shm, .dbt, .dbv, .db-wal, .dbx, .dcb, .dct, .dcx, .ddl, .diff, .dlis, .dp1, .dqy, .dsk, .dsn, .dtsx, .dxl, .eco, .ecx, .edb, .epim, .exb, .fcd, .fdb, .fic, .fm5, .fmp, .fmp12, .fmpsl, .fol, .fp3, .fp4, .fp5, .fp7, .fpt, .frm, .gdb, .grdb, .gwi, .hdb, .his, .hjt, .ib, .ibd, .icg, .icr, .idb, .ihx, .itdb, .itw, .jet, .jtx, .kdb, .kdb, .kexi, .kexic, .kexis, .lgc, .lut, .lwx, .maf, .maq, .mar, .mas, .mav, .maw, .mdb, .mdf, .mdn, .mdt, .mpd, .mrg, .mud, .mwb, .myd, .ndf, .nnt, .nrmlib, .ns2, .ns3, .ns4, .nsf, .nv, .nv2, .nwdb, .nyf, .odb, .oqy, .ora, .orx, .owc, .p96, .p97, .pan, .pdm, .pnz, .qry, .qvd, .rar, .rbf, .rctd, .rdp, .rod, .rodx, .rpd, .rsd, .sas7bdat, .sbf, .scx, .sdb, .sdc, .sdf, .sis, .spq, .sql, .sqlite, .sqlite3, .sqlitedb, .tar, .te, .temx, .tmd, .tps, .trc, .trm, .udb, .udl, .usr, .v12, .vis, .vpd, .vvv, .wdb, .wmdb, .wrk, .xdb, .xld, .xls, .xlsx, .xmlff, .zip 

Остальные файлы шифруются блоками c интервалом по умолчанию 4 МБ.

Это документы MS Office, PDF, текстовые файлы, фотографии, музыка, видео и пр.

Вырубает ряд процессов, которые мешают шифрованию, но пропускает процессы, имена которых содержат следующие подстроки:

AnyDesk, Client, DropBox, googledrive, GoogleDriveFS, Kerio, OneDrive, TeamViewer, VPN, Yandex, YandexDisk2

Списки исключения при шифровании:

а) пропускает следующие файлы: 

autorun.inf, boot.ini, bootfont.bin, bootmgr, BOOTNXT, bootsect.bak, desktop.ini, iconcache.db, ntldr, ntuser.dat, ntuser.dat.log, ntuser.ini, thumbs.db, YandexDisk2.exe

б) пропускает файлы с расширениями: 

.386, .adv, .ani, .bat, .cab, .cmd, .com, .cpl, .cur, .deskthemepack, .diagcab, .diagcfg, .diagpkg, .dll, .drv, .exe, .hlp, .hta, .icl, .icns, .ico, .ics, .idx, .ldf, .lnk, .lock, .mod, .mpa, .msc, .msi, .msp, .msstyles, .msu, .nls, .nomedia, .ocx, .pdb, .prf, .ps1, .rdp .rom, .rtp, .scr, .search-ms, shs, .spl, .sys, .theme, .themepack, .wpx

в) пропускает следующие папки (директории): 

$RECYCLE.BIN, $Windows.~bt, $windows.~ws, All Users, Anydesk, AVG, Boot, BrowserManager, Comms, Config.Msi, Default, DriveFS, ESET, Foxit Reader, google, Intel, Kaspersky Lab, Kerio, Microsoft Help, Microsoft, microsoft, Microsoft, Mozilla Firefox, Mozilla, MSOCache, OneDrive, Opera Software, Package Cache, PerfLogs, qmlcache, RaiDrive, SearchBand, SoftwareDistribution, System Volume Information, tor browser, USOPrivate, USOShared, Visual Studio 16.0, VPN Client, Windows Defender, windows nt, Windows, windows.old, WindowsApps, Yandex.Disk.2, Yandex.Notes, Yandex.Telemost, YandexBrowser, YandexDisk2, yapin

г) пропускает собственные файлы, записки с требованиями выкупа и файлы получившие заданное расширение после шифрования.

Файлы, связанные с этим Ransomware:

BLackShadow_Help.txt - название файла с требованием выкупа;

BLackSh_Help.txt - название файла с требованием выкупа;

BlackStore_Help.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла. а

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
Global\BlackShadow

Global\FSWiper

См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

Образец раннего варианта не был предоставлен. Другие варианты см. ниже в Обновлениях. 

Файл очистителя свободного места на диске: 

IOC: VT, IA

Степень распространённости: средняя.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Proxima Ransomware - январь 2023

BTC-azadi Ransomware - январь 2023

Cylance Ransomware - март 2023

BTC-azadi NextGen Ransomware - с марта 2023

другие варианты - март-апрель-май 2023

BlackShadow Ransomware - май-июль 2023

BlackBerserk (BlackRecover) Ransomware - с июля 2023

другие варианты - август-ноябрь 2023

Lambda (LambdaCrypter) Ransomware - октябрь 2023

другие варианты - весь 2024 год

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 4-6 июня 2023:

Расширение: .BlackStore

Записка: BlackStore_Help.txt

Email: Black.Store2000@onionmail.org, Black.Store2000@cyberfear.com

Мьютекс: Global\BlackStoreMutex

Специальный файл: Black.dll

Файл очистителя: Brlg.sys (в C:\ProgramData, cmd-запуск)

Файл: MsMpegs.exe

IOC: VT, IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.37619

BitDefender -> Dropped:Trojan.Ransom.Cylance.C

ESET-NOD32 -> A Variant Of Win32/Filecoder.ONI

Microsoft -> Ransom:Win32/CylanCrypt.PAB!MTB

QuickHeal -> Ransom.Cylance.S30114602

TrendMicro -> Ransom.Win32.CELANCYC.SM

Вариант от 10 июня 2023: 

Сообщение о втором образце >>

Расширение: .ZeroCool

Записка: ZeroCool_Help.txt

Email: zero.cool2000@onionmail.org, zero.cool2000@skiff.com

Мьютекс: Global\ZeroCoolMutex

IOC: VT, IA + VT, IA
➤ Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Malwarebytes -> Ransom.ZeroCool

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.YXDINZ

Вариант от 30 июля 2023 или раньше: 

Сообщение на форуме >>

Расширение: .X

Записка: X-Help.txt

Email: Recovery.team@onionmail.org, Recovery.team@skiff.com

Вариант от 10 августа или раньше: 

Самоназвания: Black Ice, BLACK ICE  

Похож на вариант ZeroCool.

Сообщение >>

Расширение: .ICE

Записка: ICE_Recovey.txt (да, с ошибкой в последней букве)

Email: Black.lce85@onionmail.org, Black.Ice85@skiff.com

IOC: VT: 85E183053D61B4E4262600C42540496F

Образец непубличный, скорее всего вариант BlackBerserk (BlackRecover) Ransomware

Вариант от 22 сентября 2023: 

Расширение: .Gomez

Записка: Gomez_Recover.txt

Email: Gomez1754@cyberfear.com, Gomez1754@skiff.com

См. в статье BlackBerserk (BlackRecover) Ransomware

Вариант от 6 октября 2023:

Сообщение >>

Доп. название: Jarjets Ransomware

Расширение: .Jarjets

Записка: Jarjets_ReadMe.txt

IOC: VT, IA 

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.YXDJWZ

Вариант от 21 октября 2023:

Расширение: .Off

Записка: Off_Help.txt

Вариант ноября 2023:

Расширение: .Daniel

Записка: Daniel_Help.txt

Вариант от 27 ноября 2023: 

Расширение: .Xray

Записка: Xray_Help.txt

Email: Xray64@skiff.com, Xray64@onionmail.org

Мьютекс: Global\XrayMutex

IOC: VT: IA: MD5: 26031e3493d51873b6ce93f3fdcba2fb

Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.SMYXDJA

Варианты от 9-22 декабря 2023: 

Сообщение >>

Доп. название: Tisak Ransomware

Расширение: .Tisak

Записка: Tisak_Help.txt

Email: Tisak1998@skiff.com, Tisak1998@cyberfear.com

IOC: VT: IA: MD5: d1f6a3f6e59abbe7fa4faec0dcb80892

Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

Tencent -> Malware.Win32.Gencirc.10bf6e7e

TrendMicro -> Ransom.Win32.CELANCYC.SMYXDJA

---

IOC: VT: IA: MD5: 94a25e1fb0011ef2522b058ec2723e58

Обнаружения: 

DrWeb -> Trojan.Wiper.3

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

Tencent -> Malware.Win32.Gencirc.10bf78ed

TrendMicro -> Ransom.Win32.CELANCYC.SMYXDJA

Вариант от 22 декабря 2023: 

Расширение: .SNet

Записка: DecryptNote.txt

Email: snetinfo@skiff.com, snetinfo@cyberfear.com

IOC: VT: HA: IA: TG: MD5: 336225128a6a0899b0bd31507159dddb

IOC: VT: HA: IA: TG: MD5: c7bdd334bb8b87c4a39bcc911fb511fb

Обнаружения для обоих вариантов: 

DrWeb -> Trojan.Wiper.3

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.YXDL1Z

=== 2024 ===

Пропущенные варианты:

Ориентируйтесь по образцам, собранным в аккаунте rivitna по ссылке >>

Вариант от 1 ноября 2024:

Сообщение на форуме >>

Расширение: .Key2030

Записка: Key2030_Help.txt

Email: key2030@cock.li, key2030@cyberfear.com

➤ Содержание записки:

ATTENTION!

All files have been stolen and encrypted by us.

# What about guarantees?

To prove that we can decrypt your files, send us two unimportant encrypted files  not the database and backup. ( up to 1 MB ) and we will decrypt them for free.

If we don't provide you with a decryptor or delete your data after you pay,no one will pay us in the future. 

We value our reputation.

Contact us:

key2030@cock.li

key2030@cyberfear.com

# In subject line please write your personal ID

CAA94D**********

+Do not delete or modify encrypted files.

+Decryption of your files with the help of third parties may cause increased price(they add their fee to our).

Вариант от 9 декабря 2024 или раньше: 

Сообщение на форуме >>

Расширение: .Thomas

Записка: Thomas_Help.txt

Email: Thomas021@mailum.com, Thomas021@tutanota.com

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 rivitna, pcrisk, S!Ri, Sandor
 Andrew Ivanov (article author)
 F.A.C.C.T. (Андрей Жданов, Иван Грузд)
 to the victims who sent the samples

*
© Amigo-A (Andrew Ivanov): All blog articles. Contact.