BlackLock

BlackLock Ransomware

BlackLock Linux Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп, чтобы вернуть файлы. Если пострадавшие откажутся платить, то украденные данные будут слиты.  Оригинальное название: в записке не указано. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.41186
BitDefender -> Trojan.Generic.36893921
ESET-NOD32 -> A Variant Of WinGo/Filecoder.MO
Kaspersky -> HEUR:Trojan-Ransom.Win64.Generic
Malwarebytes -> Malware.AI.4072399573
Microsoft -> Trojan:Win32/Filecoder!MSR
Rising -> Ransom.Generic!8.E315 (CLOUD)
Tencent -> Win64.Trojan-Ransom.Generic.Qzfl
TrendMicro -> TROJ_GEN.R03BC0DK524
---

© Генеалогия: LostTrust >> El Dorado > BlackLock > BlackLock Linux

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя была найден во второй половине февраля 2025 г. Активность группы хакеров-вымогателей замечена с 2024 года. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

BlackLock Ransomware переименовывает каждый зашифрованный файл случайной строкой символов и добавляет к файлам случайные расширения. 

Записка с требованием выкупа называется: HOW_RETURN_YOUR_DATA.TXT

Содержание записки о выкупе:

Hello!

Your files have been stolen from your network and encrypted with a strong algorithm. We work for money and are not associated with politics. All you need to do is contact us and pay.

--- Our communication process:

1. You contact us.

1. We send you a list of files that were stolen.

2. We decrypt 1 file to confirm that our decryptor works.

3. We agree on the amount, which must be paid using BTC.

4. We delete your files, we give you a decryptor.

5. We give you a detailed report on how we compromised your company, and recommendations on how to avoid such situations in the future.

--- Client area (use this site to contact us):

Link for Tor Browser: hxxx://panela3eefdzfzxzxcsh***tzvjyd.onion/ddb34da5-dce4-4b46-8f7d-4674ab38be9d

>>> to begin the recovery process.

* In order to access the site, you will need Tor Browser,

you can download it from this link: hxxps://www.torproject.org/

--- Recommendations:

DO NOT RESET OR SHUTDOWN - files may be damaged.

DO NOT RENAME OR MOVE the encrypted and readme files.

DO NOT DELETE readme files.

--- Important:

If you refuse to pay or do not get in touch with us, we start publishing your files.

Еhe decryptor will be destroyed and the files will be published on our blog.

Blog: hxxx://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid.onion

Sincerely!

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Распространяется с 2024 года на русскоязычном форуме RAMP как RaaS. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW_RETURN_YOUR_DATA.TXT - название файла с требованием выкупа;
enc_windows_amd64.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://26ubgm3vvrjawkdyfhvl2d2nhq77nu3zsagbih4yy2zgau5uv5ivfgyd.onion/dd6a54ac101e46032344dd2cef5e32

Tor-URL: hxxx://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Информация о пострадавших на сайте вымогателей:

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: d1cd0d1ecf05b1c49c732e7070214676 

SHA-1: 966752f12e81ffa1322da91f861fb0ee0ee771e7 

SHA-256: 0622aed252556af50b834ae16392555e51d67b3a4c67a6836b98534a0d14d07d 

Vhash: 046066655d5d15541az28!z 

Imphash: f0ea7b7844bbc5bfa9bb32efdcea957c

---

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

MetaEncryptor Ransomware - с августа 2022

LostTrust Ransomware -  с сентября 2023

El Dorado Ransomware - с мая 2024
BlackLock Ransomware - с февраля 2025

BlackLock Ransomware для Linux - с марта 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 19 марта 2025: 

Сообщение >>

Версия для Linux.

Написан на языке GO. 

На файле написано: enc_linux_amd64.elf. 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 17a2f0bd0af19cecc108c5937e3054d0 

SHA-1: f439f4b1c1a7179bf5d2634d84342d413f360885 

SHA-256: 1da86aa04214111ec8b4a2f46e6450f41233da1110f0b32890d522285a2ae38b 

Vhash: 2ae4e8508310db9b5a868735969a533c

➤ Обнаружения:

DrWeb -> Linux.Encoder.568

BitDefender -> Trojan.Linux.GenericKD.43646

ESET-NOD32 -> Linux/Filecoder.EO

Microsoft -> Ransom:Linux/SAgnt!MTB

Rising -> Ransom.Agent/Linux!8.138F2 (CLOUD)

Tencent -> Linux.Trojan.Avi.Ymhl

TrendMicro -> Ransom.Linux.BLACKLOCK.THCOFBE

Вариант от 29 июня 2025: 

Сообщение >>

Расширение: .<random>

Пример расширения: .mcfcjuky

Записка: HOW_RETURN_YOUR_DATA.TXT

Tor-URL: 

4ozbomcjurd64vgeblkoqeqirvawi3dddswriw6qespscmequmqlshyd.onion

zdkexsh2e7yihw5uhg5hpsgq3dois2m5je7lzfagij2y6iw5ptl35gyd.onion

IOC: VT, IA

MD5: f392807da3ee1f3e9702ce5fa91d418d 

SHA-1: 267c2e01edebdccd5387bfa6def2255d3f239b48 

SHA-256: 57f7bfb5b37364563c03ed29228a43e44936edb4ea1f232b6c74c2ecd06cce1d 

Vhash: 046066655d5d15541az28!z 

Imphash: f0ea7b7844bbc5bfa9bb32efdcea957c

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.42501

BitDefender -> Trojan.Generic.38154808

ESET-NOD32 -> A Variant Of WinGo/Filecoder.MO

Malwarebytes -> Malware.AI.2857863496

Microsoft -> Trojan:Win32/Egairtigado!rfn

Rising -> Ransom.Generic!8.E315 (CLOUD)

TrendMicro -> Ransom.Win64.BLACKLOCK.THFCOBE

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 Added later: Write-up

 Thanks: 
 Shanholo, Gameel Ali, petik, pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.