Kraken 2024-2025

Kraken Ransomware

Kraken 2024-2025 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные на серверах бизнес-пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Kraken, указано на сайте вымогателей. На файле написано: нет данных.

---

В нашем Дайджесте ранее уже были два Ransomware с таким названием, в 2016 и 2018 годах. Нет никаких подтверждений о родстве программы-вымогателя и участия тех же вымогателей. Это значит, что снова некие новые хакеры-вымогатели взяли громкое имя мифологического существа для устрашения пострадавших. 

---
Обнаружения: (нет публичного образца). 
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: нет данных о родстве >> KRAKEN v1.0 (Kraken 2024) > KRAKEN v1.3 (Kraken 2025)

Сайт "ID Ransomware" Kraken 2024-2025 пока не идентифицирует. 

Информация для идентификации

Активность ранней версии этого крипто-вымогателя была в сентябре-октябре 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .lock


Записка с требованием выкупа называется: _readme_decrypt_.txt

Содержание записки о выкупе:

Hello dear Admin!

!!! Do not interrupt encryption process, it causes full data loss. !!!

Unfortunately, your files have been encrypted and we taking over 830 GB of your data, financial reports and many other documents.

We can help to recover files and prevent data leak on the darknet.

Contact support using the following methods and decrypt one non-important file for free.

You need to download and install TOR Browser:   https://www.torproject.org/download/

Contact us method below:

Use TOR Browser: hxxx://4boexhifn6bs2tqb2p2oiiculpe2n5fuyadeqb5oxtecljrjxoanv6ad.onion/d12683f9f6375dcc

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_readme_decrypt_.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor: hxxx://4boexhifn6bs2tqb2p2oiiculpe2n5fuyadeqb5oxtecljrjxoanv6ad.onion/d12683f9f6375dcc

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Kraken Ransomware v1.0 - октябрь 2024

Kraken Ransomware v1.3 - октябрь 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 24 октября 2025:

Сообщение на форуме >>

Цель атаки: сервера ESXi. 

Расширение: .zpsc

Записка: _readme_you_ws_hacked_.txt

➤ Содержание записки: 

Hello dear user!

!!! Do not interrupt encryption process, it causes full data loss. !!!

Unfortunately, your files have been encrypted and we taking over 2 TB of your data, financial reports and many other documents.

We can help to recover files and prevent data leak on the darknet.

Contact support using the following methods and decrypt one non-important file for free.

Contact us method below:

Use TOR Browser: hxxx://rso3zxwxioscqrbvx4ksrroukqkb3dxotwijqoqrfvcobhxrqfgtksad.onion/b3eb54ce5fdb3286c8ac

Новый сайт вымогателей: 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.