WStop Ransomware
Aliases: Fat32, BitCloud, BaseData, Dataserver, SStop
(шифровальщик-вымогатель) (первоисточник)
Translation into English
---
Обнаружения:
DrWeb ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Tencent ->
TrendMicro ->
---
© Генеалогия: родство выясняется >> WStop
Сайт "ID Ransomware" это пока не идентифицирует.
Информация для идентификации
Активность этого крипто-вымогателя была в первой половине сентября 2024 г. или раньше, и продолжилась в 2025 году. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
К зашифрованным файлам добавляется расширение: .wstop
Фактически используется составное расширение по шаблону: .[[ID]].[[<email>]].wstop
Пример такого расширения: [[OBoTKsHV]].[[BitCloud@cock.li]].wstop
Другие известные расширения с разными email-адресами.
Записка с требованием выкупа называется: INFORMATION.txt
Содержание записки о выкупе:
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
INFORMATION.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: BitCloud@cock.li
Пример такого расширения: [[OBoTKsHV]].[[BitCloud@cock.li]].wstop
Другие известные расширения с разными email-адресами.
[[XXXXXXXX]].[[Fat32@airmail.cc]].wstop
[[XXXXXXXX]].[[dataserver@airmail.cc]].wstop
[[XXXXXXXX]].[[BaseData@airmail.cc]].wstop
Записка с требованием выкупа называется: INFORMATION.txt
Содержание записки о выкупе:
THE FILES ON YOUR DEVICE HAVE BEEN ENCRYPTED !!!!!!!!!!!!!
Due to a security breach, all files on your computer have been encrypted,
for decryption, send an email to us: BaseData@airmail.cc
Be sure to specify this ID in the header of the letter
when contacting us: ***
To decrypt your files, you will need to pay a certain amount in bitcoins. The decryption rate depends on the speed of your contact with us.
After payment, you will receive a special tool for decrypting files on your computer.
As a guarantee, we make a free decryption
For the test, we can decrypt one small file as proof of decryption.
We do not decrypt important files during testing, such as XLS, databases and other important files!
We don't consider ourselves criminals! We only show you the problems with your security and get rewarded for our hard work!
We never cheat and value our reputation!
How can I buy Bitcoins?
Contact us and we will provide you with instructions for buying Bitcoin.
Please note that by contacting third parties, the cost may increase due to additional fees.
We will help you to purchase bitcoin without unnecessary difficulties, our experienced specialists will tell you in detail about the process.
This is very important!
- Do not rename encrypted files.
- Do not try to decrypt your data using third party software, this may lead to irreversible data loss.
- No one else will be able to return your files except us!
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
INFORMATION.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: BitCloud@cock.li
Fat32@airmail.cc
dataserver@airmail.cc
BaseData@airmail.cc
BTC: -
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
IOC: VT, HA, IA, TG, AR, VMR, JSB
MD5: -
Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Вариант от 30 марта 2025 или раньше:
Расширение: .sstop
Записка: INFORMATION.txt
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Записка: INFORMATION.txt
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***
Thanks: *** Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
