Rincrypt

Rincrypt Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует написать на email вымогателей, чтобы купить дешифратор и вернуть файлы. Оригинальное название: в записке не указано. На файле написано: testencrypts.exe, Encrypts.exe или что-то еще. Написан на языке программирования Python. 
---
Обнаружения:
DrWeb -> Python.Encoder.200
BitDefender -> Generic.Ransom.PyCL.A.C5D378FE
ESET-NOD32 -> Python/Filecoder.AFB
Kaspersky -> Trojan-Ransom.Win32.Crypren.ajxt
Malwarebytes -> Ransom.FileCryptor.Python
Microsoft -> Trojan:Win32/Acll
Tencent -> Win32.Trojan-Ransom.Crypren.Itgl
TrendMicro -> TROJ_GEN.R002H09LE24
---

© Генеалогия: родство выясняется >> Rincrypt

Сайт "ID Ransomware" это пока не идентифицирует.

Информация для идентификации

Образец этого крипто-вымогателя был загружен в начале апреля 2024 г. Ориентирован на англоязычных пользователей. Ничего неизвестно о распространении, возможно, что это тестовый образец. 

К зашифрованным файлам добавляется расширение: .rincrypt

Записка с требованием выкупа называется: READ THIS.txt

Содержание записки о выкупе:
All of your files have been encrypted. send email here nevorah775@dacgu.com and buy decryptor.

Перевод записки на русский язык:
Все ваши файлы зашифрованы. шлите email на nevorah775@dacgu.com и купите дешифратор.



✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ THIS.txt - название файла с требованием выкупа;
testencrypts.exe, Encrypts.exe - названия вредоносного файла; 

achj.exe, elgvsp.exe, rhuovksx.exe, nxgzfcr.exe, uyso.exe - случайные названия вредоносных файлов. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\<USER>\AppData\Local\Temp\Encrypts.exe

C:\ebck\rhuovksx.exe

C:\hizkckr\nxgzfcr.exe

C:\kytvqx\uyso.exe

C:\mxgpnf\elgvsp.exe

C:\vanr\achj.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: nevorah775@dacgu.com
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG 

MD5: f597e89ea210b3009ccd5193142e2111 

SHA-1: c2742f672597a9950dcd58a9e190864b9912913e 

SHA-256: 265db2cb4ed90260f5b245d475510d005476eaeb967ab8e8b4959aba92e97e81 

Vhash: 017076655d15551555504013z30066mz11fz 

Imphash: 1af6c885af093afc55142c2f1761dbe8

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 pcrisk, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.