LockZ Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
---
Обнаружения:
DrWeb -> ***
BitDefender -> Trojan.GenericKD.76313745, Trojan.GenericKD.76313827
ESET-NOD32 -> ***
Kaspersky -> UDS:Trojan-Downloader.PowerShell.Agent, HEUR:Trojan.PowerShell.Generic
Malwarebytes -> Malware.AI.2133892309
Microsoft -> Trojan:Win64/Malgent!MSR, Trojan:Win32/Egairtigado!rfn
Rising -> Spyware.Stealer!8.3090 (TFE:5:A8rxSWVrNCN)
Tencent -> Win32.Trojan.Generic.Yolw, Win32.Trojan.Generic.Najl
TrendMicro -> TROJ_GEN.R06BC0XE125, TROJ_GEN.R053C0XE125
---
© Генеалогия: родство выясняется >> LockZ
Сайт "ID Ransomware" LockZ пока не идентифицирует.
Информация для идентификации
Активность этого крипто-вымогателя была в конце апреля 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
К зашифрованным файлам добавляется расширение: .lockz
Записка с требованием выкупа называется: @HELP_HERE_TO_RESCUE_YOUR_FILES@.txt, @EXPLICATIONS@.txt
Записка с требованием выкупа называется: @HELP_HERE_TO_RESCUE_YOUR_FILES@.txt, @EXPLICATIONS@.txt
Содержание записки о выкупе:
Security Alert!
Your system has been infected by **LockZ**. All your files have been securely encrypted.
What does this mean?
Your documents, images, databases, and other important files have been locked, and you cannot access them.
Do not attempt to restore or recover the access by other means. Any attempt to interfere with the encryption process
will make your files irrecoverable.
To recover your files, follow these steps:
1. Make the payment of **1 BTC** to the following Bitcoin address (this is the only way to restore your files):
Bitcoin Address: **3B7VJ9hQ5A2FpX4Z78Y3T6L1D4kM0W9G**
2. After the payment is made, you will receive a **decryption file** within **24 hours**.
Important:
- If you do not make the payment within the next **48 hours**, the ransom will **double**.
- If the payment is not made within **72 hours**, your files will be **permanently deleted**.
Warning:
- Do not attempt to contact authorities. Doing so will forfeit any chance of recovering your files.
- Do not try to use third-party decryption software. This will permanently destroy your data.
For further information or inquiries, contact:
asadopollo230@gmail.com
Remember, **LockZ** holds the key to your files. Make the payment and regain access to your data quickly.
Информатором жертвы также является изображение, заменяющее обои Рабочего стола: ransomware_warning.bmp
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Используются встроенные технологии от Microsoft: PowerShell и WScript.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
@HELP_HERE_TO_RESCUE_YOUR_FILES@.txt, @EXPLICATIONS@.txt - название файла с требованием выкупа;
@HELP_HERE_TO_RESCUE_YOUR_FILES@.txt, @EXPLICATIONS@.txt - название файла с требованием выкупа;
Show_Encrypted_Files.txt, @EXPLICATIONS@.txt - другие файлы;
ransomware_warning.bmp - изображение, заменяющее обои Рабочего стола;
InGlockZ.exe, Zip_unCompress.exe - названия вредоносных файлаов;
InGlockZ.exe, Zip_unCompress.exe - названия вредоносных файлаов;
installer.vbs, vbsExecInter.vbs, temp-executer.vbs, executer.ps1 - другие вредоносные файлы.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: sadopollo230@gmail.com
BTC: 3B7VJ9hQ5A2FpX4Z78Y3T6L1D4kM0W9G
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: sadopollo230@gmail.com
BTC: 3B7VJ9hQ5A2FpX4Z78Y3T6L1D4kM0W9G
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
MD5: 043a3c3daf625d92c773925b696eb976
SHA-1: 1f819290581f8e18f8ff6f35c7d4cdce153fde70
SHA-256: b032160f9e2615100cb77791fa40d48f6b721f50bda0ed428053e1af12d2a922
Vhash: 0261376d1515555c0d1d1az3c49fz1lz
Imphash: 213f6b86b0bf57f3e25ebbc69bb02f44
---
MD5: b0bcf169213c4c887864704dad5d0212
SHA-1: 1cf69f039900b7bff295ec7f2150102503b7e0ea
SHA-256: 8915077b9c04c6f1c86967261d1881088cda637e180d30cb83fc1f8dbe2074b0
Vhash: 0261376d1515555c0d1d1az3c49fz1lz
Imphash: 213f6b86b0bf57f3e25ebbc69bb02f44
Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновлений не было или не добавлены.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***
Thanks: fbgwls245, petik Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
