Gunra

Gunra Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует связаться с вымоагтелями через сайт в сети Tor, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: Gunra_Ransomware. 

В основе Gunra лежит код другой известной программы — Conti Ransomware, написаной на C и C++. Однако в отличие от своего предшественника, в Gunra Ransomware используются более гибкие и изощрённые методы ухода от обнаружения. 
---
Обнаружения:
DrWeb -> Trojan.BadRabbit.9
BitDefender -> Gen:Heur.Ransom.RTH.1
ESET-NOD32 -> A Variant Of Win64/Filecoder.GV
Kaspersky -> Trojan-Ransom.Win32.Conti.dw
Malwarebytes -> ***
Microsoft -> Ransom:Win64/Gunra.A
Rising -> Trojan.Kryptik/x64!1.12BEE (CLASSIC)
Tencent -> Malware.Win32.Gencirc.146d2124
TrendMicro -> Ransom.Win64.GUNRA.THEOFBE
---

© Генеалогия: Conti >> Gunra

Сайт "ID Ransomware" идентифицирует Gunra c 20 мая 2025 г. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в апреле - мае 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Пострадавшие компании находятся в Японии, Египте, Панаме, Италии и Аргентине.

К зашифрованным файлам добавляется расширение: .ENCRT

Записка с требованием выкупа называется: R3ADM3.txt

Содержание записки о выкупе:

YOUR ALL DATA HAVE BEEN ENCRYPTED!

We have dumped your sensitive business data and then encrypted your side entire data.

The only way to decrypt your files is to receive the private key and decryption program.

To receive the private key and decryption program, you must contact us.

We guarantee that you can recover all your files safely and easily. But you have not so enough time.

You can decrypt some of your files for free when you contact us.

You Only Have 5 Days To Contact Us!

How to contact us

Ñ. Download "Tor Browser" and install it. 

Ò. In the "Tor Browser" open this site here :

hxxx://apdk7hpbbquomgoxbhutegxco6btrz2ara3x2weqnx65tt45ba3sclyd.onion 

Ó. After signup and login to this site and contact Manger

You need to contact "Manager" to recover all your data successfully.

!!!DANGER !!!

İO NOT MODIFY or try to RECOVER any files yourself.We WILL NOT be able to RESTORE them.

Únd also we will publish your data on the dark web if there is no reply from you within 5 days.

Publish URL: hxxx://gunrabxbig445sjqa535uaymzerj6fp4nwc6ngc2xughf2pedjdhk4ad.onion/ 

!!!DANGER !!!

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
R3ADM3.txt - название файла с требованием выкупа;
gunraransome.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Tor-URL: hxxx://gunrabxbig445sjqa535uaymzerj6fp4nwc6ngc2xughf2pedjdhk4ad.onion

Tor-URL: hxxx://apdk7hpbbquomgoxbhutegxco6btrz2ara3x2weqnx65tt45ba3sclyd.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 9a7c0adedc4c68760e49274700218507 

SHA-1: 77b294117cb818df701f03dc8be39ed9a361a038 

SHA-256: 854e5f77f788bbbe6e224195e115c749172cd12302afca370d4f9e3d53d005fd 

Vhash: 015076655d155515555az46nz1fz

Imphash: 93fc6edbd41db10e4c203e0aaab8215c

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Cyfirma
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.