Morgan

Morgan Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью алгоритма AES, но не требует выкуп и не предоставляет email для связи с вымогателями, чтобы расшифровать файлы. Оригинальное название: Morgan. На файле написано: Morgan.exe. Вполне возможно, что изученные образцы являются тестовыми, а следующие будут предоставлять контакты для связи с вымогателями. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.40901, Trojan.Encoder.40908
BitDefender -> Trojan.GenericKD.73875826, Trojan.GenericKD.73879890
ESET-NOD32 -> A Variant Of MSIL/Filecoder.BFN
Kaspersky -> HEUR:Trojan-Ransom.MSIL.GenericCryptor.gen, HEUR:Trojan-PSW.MSIL.Stealer.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:MSIL/FileCoder.AYB!MTB, Ransom:Win32/Genasom
Rising -> Ransom.Agent!1.10191 (CLASSIC)
Tencent -> Malware.Win32.Gencirc.10c03521, Win32.Trojan.Malware.juzi
TrendMicro -> Ransom_RAMSIL.SM
---

© Генеалогия: SF, Satyr, BlackHeart NextGen: BlackDream, BlackLegion и другие >> Morgan

Сайт "ID Ransomware" может идентифицировать это как один из предыдущих вариантов. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. В одном из образцов содержится инфостилер. 

К зашифрованным файлам добавляются расширения: 

.morgan
.alci

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:
Your files are encrypted using AES, ur ID: 1418e947-7153-4f16-adea-ff0d0082947c

Перевод записки на русский язык:
Ваши файлы зашифрованы с AES, ваш ID: 1418e947-7153-4f16-adea-ff0d0082947c

Кроме того, в разных образцах загружаются два разных изображения:

1) с ромом "Captain Morgan" без требований выкупа;

2) картинка с капитаном Морганом с рекламной этикетки и немного текста.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;

wp4127471.jpg - изображение, заменяющее обои Рабочего стола; 
Morgan.exe - название вредоносного файла; 

Morgan.pdb - файл проекта вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\admin\source\repos\Morgan\Morgan\obj\Release\Morgan.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
hxxxs://wallpapercave.com/wp/wp4127471.jpg

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG, AR

MD5: 0e7215901aa61f182a5d229d289b073a 

SHA-1: a34cea415bc7d07d93c6b1b02e2a2349fc3b38b8 

SHA-256: 6cd338d71c9b2e482089e164a2d58f03e0619734b4436fb745df4f57527eeed6 

Vhash: 21403655151c082460021 

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

---

IOC: VT, IA, TG, AR

MD5: cd2149ef2f2c9675e75a224c10f60a8e 

SHA-1: a1a962caae493a33f947ff6412d18f864c7fc3fb 

SHA-256: 17db6fd9f81222711b1f33983a8f64b8c3bddfc7dc25f4f6b6e0c6c29d877eeb 

Vhash: 21403655151f082880025 

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Petrovic
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.