WantToCry Ransomware
Want_To_Cry Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
---
Обнаружения:
DrWeb ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Tencent ->
TrendMicro ->
---
© Генеалогия: предыдущие NAS-вымогатели >> WantToCry
Сайт "ID Ransomware" это пока не идентифицирует.
Информация для идентификации
Активность этого крипто-вымогателя была в начале января 2024 г. и позже. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Кроме файлов на сетевых ресурсах может шифровать файлы в расшаренных папках, доступных через сеть. При этом неважно, какая ОС стоит на компьютере, Windows или любая система на основе Linux.
К зашифрованным файлам добавляется расширение: .want_to_cry
Записка с требованием выкупа называется: !want_to_cry.txt
Содержание записки о выкупе:
Перевод записки на русский язык:
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Некоторые пострадавшие заметили, что WantToCry Ransomware появился после использования неофициального (похожего на официальный) установщика Zoom.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Все файлы с популярными расширениями, кроме системных.
Записка с требованием выкупа называется: !want_to_cry.txt
All your data has been encrypted by --WantToCry-- r@n50mw@re
You can buy decryption of all files for 300 USD.
For this:
Visit https://tox.chat/download.html
Download and install qTOX on your PC.
Open it, click "New Profile" and create profile.
Click "Add friends" button and search our contact -
963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
Send a message with this string:
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Send 3 test files. These should be files of no more than 20-30 MB each. We do not accept download links from third-party resources. We do not accept very large files, such as database files.
In response, we will send payment instructions and decrypted files. Payment is made in the Bitcoin cryptocurrency.
Перевод записки на русский язык:
Все ваши данные зашифрованы --WantToCry-- r@n50mw@re
Вы можете купить расшифровку всех файлов за 300 долларов.
Для этого:
Посетите https://tox.chat/download.html.
Загрузите и установите qTOX на свой компьютер.
Откройте его, нажмите «Новый профиль» и создайте профиль.
Нажмите кнопку «Добавить друзей» и найдите наш контакт -
963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
Отправьте сообщение с этой строкой:
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Отправьте 3 тестовых файла. Это должны быть файлы размером не более 20-30 МБ каждый. Мы не принимаем ссылки для скачивания со сторонних ресурсов. Мы не принимаем очень большие файлы, например файлы баз данных.
В ответ мы вышлем инструкции по оплате и расшифрованные файлы. Оплата производится в криптовалюте Bitcoin.
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Некоторые пострадавшие заметили, что WantToCry Ransomware появился после использования неофициального (похожего на официальный) установщика Zoom.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Все файлы с популярными расширениями, кроме системных.
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Исключение:
Исключение:
.exe, .bin и другие системные.
Файлы, связанные с этим Ransomware:
!want_to_cry.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
qTOX: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
Файлы, связанные с этим Ransomware:
!want_to_cry.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
qTOX: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
Email: -
BTC: -
BTC: -
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: -
Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support, Topic of Support, Topic of Support ***
Thanks: *** Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
