Interlock Ransomware
Interlock Extortion Group
(шифровальщик-вымогатель, группа вымогателей) (первоисточник)
Translation into English
Этот крипто-вымогатель атакует виртуальные машина (VM) и шифрует файл виртуального диска (VMDK) через гипервизоры VMWare ESXi с последующей сменой пароля root на хостах ESXi, а затем требует связаться с вымогателями через сайт в сети Tor, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: Interlock.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Trojan.Linux.GenericKD.35092
ESET-NOD32 -> A Variant Of Linux/Filecoder.InterLock.A
Kaspersky -> UDS:Trojan-Ransom.Linux.Agent.a
Microsoft -> Ransom:Linux/Interlock.A
Rising -> Ransom.InterLock/Linux!8.1B722 (LESS:bWQ***)
Tencent -> Linux.Trojan-Ransom.Agent.Usmw
TrendMicro -> ***
---
© Генеалогия: родство выясняется >> Interlock
Обнаружения:
DrWeb -> ***
BitDefender -> Trojan.Linux.GenericKD.35092
ESET-NOD32 -> A Variant Of Linux/Filecoder.InterLock.A
Kaspersky -> UDS:Trojan-Ransom.Linux.Agent.a
Microsoft -> Ransom:Linux/Interlock.A
Rising -> Ransom.InterLock/Linux!8.1B722 (LESS:bWQ***)
Tencent -> Linux.Trojan-Ransom.Agent.Usmw
TrendMicro -> ***
---
© Генеалогия: родство выясняется >> Interlock
Сайт "ID Ransomware" это пока не идентифицирует.
Информация для идентификации
Активность этого крипто-вымогателя была в начале октября 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
К зашифрованным файлам добавляется расширение: *нет данных*.
Записка с требованием выкупа называется: !__README__! 1.txt
Записка с требованием выкупа называется: !__README__! 1.txt
Возможно, что есть записки и с другой цифрой.
Содержание записки о выкупе:
Перевод записки на русский язык:
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Локальные резервные копии удаляются.
Содержание записки о выкупе:
INTERLOCK
CRITICAL SECURITY ALERT
To Whom It May Concern,
Your organization has experienced a serious security breach. Immediate action is required to mitigate further risks. Here are the details:
THE CURRENT SITUATION
- Your systems have been infiltrated by unauthorized entities.
- Key files have been encrypted and are now inaccessible to you.
- Sensitive data has been extracted and is in our possession.
WHAT YOU NEED TO DO NOW
1. Contact us via our secure, anonymous platform listed below.
2. Follow all instructions to recover your encrypted data.
Access Point: hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php
Use your unique Company ID:
DO NOT ATTEMPT:
- File alterations: Renaming, moving, or tampering with files will lead to irreversible damage.
- Third-party software: Using any recovery tools will corrupt the encryption keys, making recovery impossible.
- Reboots or shutdowns: System restarts may cause key damage. Proceed at your own risk.
HOW DID THIS HAPPEN?
We identified vulnerabilities within your network and gained access to critical parts of your infrastructure. The following data categories have been extracted and are now at risk:
- Personal records and client information
- Financial statements, contracts, and legal documents
- Internal communications
- Backups and business-critical files
We hold full copies of these files, and their future is in your hands.
YOUR OPTIONS
#1. Ignore This Warning:
- In 96 hours, we will release or sell your sensitive data.
- Media outlets, regulators, and competitors will be notified.
- Your decryption keys will be destroyed, making recovery impossible.
- The financial and reputational damage could be catastrophic.
#2. Cooperate With Us:
- You will receive the only working decryption tool for your files.
- We will guarantee the secure deletion of all exfiltrated data.
- All traces of this incident will be erased from public and private records.
- A full security audit will be provided to prevent future breaches.
FINAL REMINDER
Failure to act promptly will result in:
- Permanent loss of all encrypted data.
- Leakage of confidential information to the public, competitors, and authorities.
- Irreversible financial harm to your organization.
CONTACT US SECURELY
1. Install the TOR browser via https://torproject.org
2. Visit our anonymous contact form at hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php
3. Use your unique Company ID:
4. Review a sample of your compromised data for verification.
5. Use a VPN if TOR is restricted in your area.
Перевод записки на русский язык:
INTERLOCK
CRITICAL SECURITY ALERT
Тем, кого это касается,
Ваша организация столкнулась с серьезным нарушением безопасности. Для снижения дальнейших рисков требуются немедленные действия. Вот подробности:
ТЕКУЩАЯ СИТУАЦИЯ
- Ваши системы подверглись проникновению неавторизованных лиц.
- Ключевые файлы были зашифрованы и теперь недоступны для вас.
- Конфиденциальные данные были извлечены и находятся в нашем распоряжении.
ЧТО ВАМ НУЖНО СДЕЛАТЬ СЕЙЧАС
1. Свяжитесь с нами через нашу безопасную анонимную платформу, указанную ниже.
2. Следуйте всем инструкциям по восстановлению ваших зашифрованных данных.
Точка доступа: hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php
Используйте свой уникальный Company ID:
НЕ ПЫТАЙТЕСЬ:
- Изменять файлы: переименование, перемещение или изменение файлов приведет к необратимому ущербу.
- Сторонние программы: использование любых инструментов восстановления повредит ключи шифрования, сделав восстановление невозможным.
- Перезагрузки или выключения: перезапуск системы может привести к повреждению ключей. Действуйте на свой страх и риск.
КАК ЭТО ПРОИЗОШЛО?
Мы выявили уязвимости в вашей сети и получили доступ к критически важным частям вашей инфраструктуры. Следующие категории данных извлечены и теперь под угрозой:
- Личные записи и информация о клиентах
- Финансовые отчеты, контракты и юридические документы
- Внутренние коммуникации
- Резервные копии и критически важные для бизнеса файлы
У нас есть полные копии этих файлов, и их будущее в ваших руках.
ВАШИ ВАРИАНТЫ
#1. Игнорировать это предупреждение:
- Через 96 часов мы опубликуем или продадим ваши конфиденциальные данные.
- СМИ, регулирующие органы и конкуренты будут уведомлены.
- Ваши ключи дешифрования будут уничтожены, что сделает восстановление невозможным.
- Финансовый и репутационный ущерб может быть катастрофическим.
#2. Сотрудничать с нами:
- Вы получите единственный рабочий инструмент дешифрования для ваших файлов.
- Мы гарантируем безопасное удаление всех извлеченных данных.
- Все следы этого инцидента будут стерты из публичных и частных записей.
- Будет проведен полный аудит безопасности для предотвращения будущих нарушений.
ПОСЛЕДНЕЕ НАПОМИНАНИЕ
Неспособность действовать быстро приведет к:
- Безвозвратной потере всех зашифрованных данных.
- Утечке конфиденциальной информации общественности, конкурентам и властям.
- Необратимому финансовому ущербу для вашей организации.
СВЯЖИТЕСЬ С НАМИ БЕЗОПАСНО
1. Установите браузер TOR через https://torproject.org
2. Посетите нашу анонимную контактную форму по адресу hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php
3. Используйте свой уникальный Company ID:
4. Просмотрите образец ваших скомпрометированных данных для проверки.
5. Используйте VPN, если TOR ограничен в вашем регионе.
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Локальные резервные копии удаляются.
Используется бэкдор "Supper" для проникновения.
VT: e9ff4d40aeec2ff9d2886c7e7aea7634d8997a14ca3740645fd3101808cc187b
VT: 6933141fbdcdcaa9e92d6586dd549ac1cb21583ba9a27aa23cf133ecfdf36ddf
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
!__README__! 1.txt - название файла с требованием выкупа;
elf-файл - вредоносный файл.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Tor-URL: hxxx://ebhmkoohccl45qesdbvrjqtyro2hmhkmh6vkyfyjjzfllm3ix72aqaid.onion/support/step.php
Email: interlock@2mail.co
BTC: -
BTC: -
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
MD5: e11d147dad6e47a1cecb1f2755f95a55
SHA-1: 5cc81e0df62e0d68710e14b31e2270f2ec7ed166
SHA-256: e86bb8361c436be94b0901e5b39db9b6666134f23cce1e5581421c2981405cb1
Vhash: 40e0b4dd0f2920f533f24e7082d9eabc
Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновлений не было или не добавлены.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***
Thanks: BleepingComputer Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
