WantToCry

WantToCry Ransomware

Want_To_Cry Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует файлы на сетевых дисках (NAS QNAP и др.) и сетевых хранилищах (NAS Zyxel и др.), а затем требует выкуп от $300 до $1000 и больше в BTC, чтобы вернуть файлы. Оригинальное название: WantToCry. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: предыдущие NAS-вымогатели >> WantToCry

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале января 2024 г. и позже.  Ориентирован на англоязычных пользователей, может распространяться по всему миру. Кроме файлов на сетевых ресурсах может шифровать файлы в расшаренных папках, доступных через сеть. При этом неважно, какая ОС стоит на компьютере, Windows или любая система на основе Linux. 

К зашифрованным файлам добавляется расширение: .want_to_cry

Записка с требованием выкупа называется: !want_to_cry.txt

Содержание записки о выкупе:

All your data has been encrypted  by --WantToCry-- r@n50mw@re

You can buy decryption of all files for 300 USD.

For this:

  Visit https://tox.chat/download.html

  Download and install qTOX on your PC.

  Open it, click "New Profile" and create profile.

  Click "Add friends" button and search our contact -

963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91

  Send a message with this string: 

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

  Send 3 test files. These should be files of no more than 20-30 MB each. We do not accept download links from third-party resources. We do not accept very large files, such as database files.

In response, we will send payment instructions and decrypted files. Payment is made in the Bitcoin cryptocurrency.

Перевод записки на русский язык:

Все ваши данные зашифрованы --WantToCry-- r@n50mw@re

Вы можете купить расшифровку всех файлов за 300 долларов.

Для этого:

   Посетите https://tox.chat/download.html.

   Загрузите и установите qTOX на свой компьютер.

   Откройте его, нажмите «Новый профиль» и создайте профиль.

   Нажмите кнопку «Добавить друзей» и найдите наш контакт -

963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91

   Отправьте сообщение с этой строкой:

XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

   Отправьте 3 тестовых файла. Это должны быть файлы размером не более 20-30 МБ каждый. Мы не принимаем ссылки для скачивания со сторонних ресурсов. Мы не принимаем очень большие файлы, например файлы баз данных.

В ответ мы вышлем инструкции по оплате и расшифрованные файлы. Оплата производится в криптовалюте Bitcoin.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Некоторые пострадавшие заметили, что WantToCry Ransomware появился после использования неофициального (похожего на официальный) установщика Zoom. 

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Все файлы с популярными расширениями, кроме системных. 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Исключение: 

.exe, .bin и другие системные. 

Файлы, связанные с этим Ransomware:
!want_to_cry.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
qTOX: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support, Topic of Support, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.