LockZ

LockZ Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в 1 BTC, чтобы вернуть файлы. Оригинальное название: LockZ Ransomware. На файле написано: Auto Encryption Tool.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Trojan.GenericKD.76313745, Trojan.GenericKD.76313827
ESET-NOD32 -> ***
Kaspersky -> UDS:Trojan-Downloader.PowerShell.Agent, HEUR:Trojan.PowerShell.Generic
Malwarebytes -> Malware.AI.2133892309
Microsoft -> Trojan:Win64/Malgent!MSR, Trojan:Win32/Egairtigado!rfn
Rising -> Spyware.Stealer!8.3090 (TFE:5:A8rxSWVrNCN)
Tencent -> Win32.Trojan.Generic.Yolw, Win32.Trojan.Generic.Najl
TrendMicro -> TROJ_GEN.R06BC0XE125, TROJ_GEN.R053C0XE125
---

© Генеалогия: родство выясняется >> LockZ

Сайт "ID Ransomware" LockZ пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце апреля 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .lockz

Записка с требованием выкупа называется: @HELP_HERE_TO_RESCUE_YOUR_FILES@.txt, @EXPLICATIONS@.txt

Содержание записки о выкупе:

Security Alert!

Your system has been infected by **LockZ**. All your files have been securely encrypted.

What does this mean?

Your documents, images, databases, and other important files have been locked, and you cannot access them.

Do not attempt to restore or recover the access by other means. Any attempt to interfere with the encryption process

will make your files irrecoverable.

To recover your files, follow these steps:

1. Make the payment of **1 BTC** to the following Bitcoin address (this is the only way to restore your files):

Bitcoin Address: **3B7VJ9hQ5A2FpX4Z78Y3T6L1D4kM0W9G**

2. After the payment is made, you will receive a **decryption file** within **24 hours**.

Important:

- If you do not make the payment within the next **48 hours**, the ransom will **double**.

- If the payment is not made within **72 hours**, your files will be **permanently deleted**.

Warning:

- Do not attempt to contact authorities. Doing so will forfeit any chance of recovering your files.

- Do not try to use third-party decryption software. This will permanently destroy your data.

For further information or inquiries, contact:

asadopollo230@gmail.com

Remember, **LockZ** holds the key to your files. Make the payment and regain access to your data quickly.

Информатором жертвы также является изображение, заменяющее обои Рабочего стола: ransomware_warning.bmp

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Используются встроенные технологии от Microsoft: PowerShell и WScript. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
@HELP_HERE_TO_RESCUE_YOUR_FILES@.txt, @EXPLICATIONS@.txt - название файла с требованием выкупа;

Show_Encrypted_Files.txt, @EXPLICATIONS@.txt - другие файлы; 

ransomware_warning.bmp - изображение, заменяющее обои Рабочего стола;
InGlockZ.exe, Zip_unCompress.exe - названия вредоносных файлаов; 

installer.vbs, vbsExecInter.vbs, temp-executer.vbs, executer.ps1 - другие вредоносные файлы. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: sadopollo230@gmail.com
BTC: 3B7VJ9hQ5A2FpX4Z78Y3T6L1D4kM0W9G

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG

MD5: 043a3c3daf625d92c773925b696eb976 

SHA-1: 1f819290581f8e18f8ff6f35c7d4cdce153fde70 

SHA-256: b032160f9e2615100cb77791fa40d48f6b721f50bda0ed428053e1af12d2a922 

Vhash: 0261376d1515555c0d1d1az3c49fz1lz 

Imphash: 213f6b86b0bf57f3e25ebbc69bb02f44

---

IOC: VT, HA, IA, TG

MD5: b0bcf169213c4c887864704dad5d0212 

SHA-1: 1cf69f039900b7bff295ec7f2150102503b7e0ea 

SHA-256: 8915077b9c04c6f1c86967261d1881088cda637e180d30cb83fc1f8dbe2074b0 

Vhash: 0261376d1515555c0d1d1az3c49fz1lz 

Imphash: 213f6b86b0bf57f3e25ebbc69bb02f44

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.