Bert

Bert Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымоагтелями через Session messenger, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: Bert Ransomware. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42127
BitDefender -> Gen:Variant.Cerbu.254571
ESET-NOD32 -> A Variant Of MSIL/Filecoder.BKI
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Agent.gen
Malwarebytes -> Trojan.FileCryptor
Microsoft -> Trojan:Win32/Pomal!rfn
Rising -> ***
Tencent -> Malware.Win32.Gencirc.147487e9
TrendMicro -> Ransom.MSIL.TREB.SMYPFDUT
---

© Генеалогия: родство выясняется >> Bert 

Сайт "ID Ransomware" Bert пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .encryptedbybert


Записка с требованием выкупа называется: .note.txt

Содержание записки о выкупе:

Hello from Bert!

Your network is hacked and files are encrypted.

We download some important files from your network.

Instructions for contacting our team:

Download the (Session) messenger (https://getsession.org) in messenger :ID

05149ef8a65c342bc76bad335ad3a314ec1321b18cdb6092667083b4e56a4dcb41

bertblogsoqmm4ow7nqyh5ik7etsmefdbf25stauecytvwy7tkgizhad.onion our blog

Скриншот сайта вымогателей в сети Tor

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
.note.txt - название файла с требованием выкупа;

newcryptor.pdb - название файла проекта вредоносного файла;
newcryptor.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

D:\new folder\Tiger\newcryptor\obj\Release\newcryptor.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: bertblogsoqmm4ow7nqyh5ik7etsmefdbf25stauecytvwy7tkgizhad.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 71dc9540eb03f2ed4d1b6496b13fe839 

SHA-1: 7aa1de73654f7d6605c81d93f89245a8969d5b9c 

SHA-256: 8478d5f5a33850457abc89a99718fc871b80a8fb0f5b509ac1102f441189a311 

Vhash: 014026551"z

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.