Frag

Frag Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.41836
BitDefender -> Gen:Variant.Ulise.539154
ESET-NOD32 -> A Variant Of Win64/Filecoder.QQ
Kaspersky -> Trojan-Ransom.Win64.Agent.dyh
Malwarebytes -> Ransom.Frag
Microsoft -> Program:Win32/Wacapew.C!ml
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.1459265c
TrendMicro -> TROJ_GEN.R002H09CK25
---

© Генеалогия: родство выясняется >> Frag 

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине марта 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .frag

Записка с требованием выкупа называется: _README_.txt

Содержание записки о выкупе:

Frag is here!

If you are a regular employee, manager or system administrator, do not delete/ignore this note or

try to hide the fact that your network has been compromised from your senior management. This

letter is the only way for you to contact us and resolve this incident safely and with minimal loss.

We discovered a number of vulnerabilities in your network that we were able to exploit to

download your data, encrypt the contents of your servers, and delete any backups we could reach.

To find out the full details, get emergency help and regain access to your systems,

All you need is:

1. Tor browser (here is a download link: https://www.torproject.org/download/

2. Use this link to enter the chat room -

xhvzsaxl3vbio6dg547envq5xgap3pwobtursdvwatdoxextv43kb7id.onion

3. Enter a code ( PBTWHBE2ZULGRBNJ2NKB30KC64L***** ) to sign in.

4. Now we can help you.

We recommend that you notify your upper management so that they can appoint a responsible

person to handle negotiations. Once we receive a chat message from you, this will mean that we

are authorised to pass on information regarding the incident, as well as disclose the details inside

the chat. From then on, we have 2 weeks to resolve this privately.

We look forward to receiving your messages.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_README_.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: xhvzsaxl3vbio6dg547envq5xgap3pwobtursdvwatdoxextv43kb7id.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 32d07d96b7bf9504a3127d0359cf1af1 

SHA-1: af18edd87d9159362b53349f85b858975919fc56 

SHA-256: 711d5c83655fbf1a139dcaf91db06d158e1958a1edb8e4885b526c137abf5a69 

Vhash: 034056555d15151az32hz2021z2fz 

Imphash: 1c253c2fdb6574e7828dffaa28b935b8

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Hyuna Lee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.