Lockton, LockTon

Lockton Ransomware

LockTon Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп в # Monero, чтобы вернуть файлы. Оригинальное название: Lockton Ransomware. На файле написано: нет данных. Для систем на базе Linux/UNIX.
---
Обнаружения:
DrWeb -> Linux.Encoder.454
BitDefender -> Trojan.Linux.Generic.382047
ESET-NOD32 -> A Variant Of Linux/Filecoder.Lockton.A
Kaspersky -> HEUR:Trojan-Ransom.Linux.Agent.lctn
Microsoft -> Ransom:Linux/Lockton.A!MTB
Rising -> Ransom.Lockton/Linux!8.1B442 (CLOUD)

Symantec -> Linux.Trojan
Tencent -> Linux.Trojan-Ransom.Encoder.Ocnw
TrendMicro -> Ransom.Linux.CLOKTON.THHBHBD
---

© Генеалогия: родство выясняется >> Lockton

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: *нет данных*.
Фактически используется составное расширение по шаблону: 

Записка с требованием выкупа называется: *нет данных*. 

Содержание записки о выкупе:

Your files have been encrypted. To recover them, please follow the instructions below. DO NOT CLOSE THIS WINDOW OR P

OWER OFF YOUR DEVICE!

IF YOU DO SO YOU WILL BE UNABLE TO RECOVER YOUR FILES!

1. Download the official Monero wallet from getmonero.org.

2. Purchase *** USD worth of Monero and send it to the following Monero address: ***

3. After sending the payment, download Dino XMPP and send the ransom payment transaction ID to the following XMPP.

***

4. After we verify you have paid your ransom, we will respond to your message with the decryption key.

5. Use the decryption key to recover your encrypted files below.

Перевод записки на русский язык:

Ваши файлы зашифрованы. Чтобы восстановить их, следуйте инструкциям ниже. НЕ ЗАКРЫВАЙТЕ ЭТО ОКНО И НЕ ВЫКЛЮЧАЙТЕ ВАШЕ УСТРОЙСТВО!

ЕСЛИ ВЫ ЭТО СДЕЛАЕТЕ, ВЫ НЕ СМОЖЕТЕ ВОССТАНОВИТЬ СВОИ ФАЙЛЫ!

1. Загрузите официальный кошелек Monero с getmonero.org.

2. Купите Monero на сумму *** USD и отправьте ее на следующий адрес Monero: ***

3. После отправки платежа загрузите Dino XMPP и отправьте идентификатор транзакции по выплате выкупа на следующий XMPP.

***

4. После того, как мы убедимся, что вы заплатили выкуп, мы ответим на ваше сообщение с ключом дешифрования.

5. Используйте ключ дешифрования, чтобы вернуть ваши зашифрованные файлы ниже.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
encryptedfiles.txt  список зашифрованных файлов; 

cf37b3caea9b8f6bf3297f2d9c562703ad0eb4f6a27df9b105bd7c9aa9ca95ee.elf - вредоносный файл.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG

MD5: 741d5a62b3fb1d8af982adce1bd34c04 

SHA-1: ae046000803108dcadc0ab4759c81deb07cd5a4d 

SHA-256: cf37b3caea9b8f6bf3297f2d9c562703ad0eb4f6a27df9b105bd7c9aa9ca95ee 

Vhash: b091e0f7108234e342a1de2cc9b04952

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 MalGamy12, S!Ri, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.