Если вы не видите здесь изображений, то используйте VPN.

вторник, 9 января 2024 г.

WantToCry

WantToCry Ransomware

Want_To_Cry Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


WantToCry Ransomware

Этот крипто-вымогатель шифрует файлы на сетевых дисках (NAS QNAP и др.) и сетевых хранилищах (NAS Zyxel и др.), а затем требует выкуп от $300 до $1000 и больше в BTC, чтобы вернуть файлы. Оригинальное название: WantToCry. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: предыдущие NAS-вымогатели >> 
WantToCry


Сайт "ID Ransomware" это пока не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была в начале января 2024 г. и позже.  Ориентирован на англоязычных пользователей, может распространяться по всему миру. Кроме файлов на сетевых ресурсах может шифровать файлы в расшаренных папках, доступных через сеть. При этом неважно, какая ОС стоит на компьютере, Windows или любая система на основе Linux. 

К зашифрованным файлам добавляется расширение: .want_to_cry

Записка с требованием выкупа называется: !want_to_cry.txt

WantToCry Ransomware note, записка о выкупе

Содержание записки о выкупе:
All your data has been encrypted  by --WantToCry-- r@n50mw@re
You can buy decryption of all files for 300 USD.
For this:
  Visit https://tox.chat/download.html
  Download and install qTOX on your PC.
  Open it, click "New Profile" and create profile.
  Click "Add friends" button and search our contact -
963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
  Send a message with this string: 
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
  Send 3 test files. These should be files of no more than 20-30 MB each. We do not accept download links from third-party resources. We do not accept very large files, such as database files.
In response, we will send payment instructions and decrypted files. Payment is made in the Bitcoin cryptocurrency.


Перевод записки на русский язык:
Все ваши данные зашифрованы --WantToCry-- r@n50mw@re
Вы можете купить расшифровку всех файлов за 300 долларов.
Для этого:
   Посетите https://tox.chat/download.html.
   Загрузите и установите qTOX на свой компьютер.
   Откройте его, нажмите «Новый профиль» и создайте профиль.
   Нажмите кнопку «Добавить друзей» и найдите наш контакт -
963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
   Отправьте сообщение с этой строкой:
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   Отправьте 3 тестовых файла. Это должны быть файлы размером не более 20-30 МБ каждый. Мы не принимаем ссылки для скачивания со сторонних ресурсов. Мы не принимаем очень большие файлы, например файлы баз данных.
В ответ мы вышлем инструкции по оплате и расшифрованные файлы. Оплата производится в криптовалюте Bitcoin.


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 




Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Некоторые пострадавшие заметили, что WantToCry Ransomware появился после использования неофициального (похожего на официальный) установщика Zoom. 

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Все файлы с популярными расширениями, кроме системных. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Исключение: 
.exe, .bin и другие системные. 

Файлы, связанные с этим Ransomware:
!want_to_cry.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
qTOX: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: -


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support, Topic of Support, Topic of Support ***

Thanks: *** Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *