Desolator

Desolator Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымоагтелями через сайт в сети Tor или посредством Messenger, чтобы узнать, как заплатить выкуп и вернуть свои файлы. Оригинальное название: Desolator Ransomware. На файле написано: desolator.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42213
BitDefender -> Trojan.GenericKD.76391095
ESET-NOD32 -> A Variant Of Win64/Agent_AGen.EFG
Kaspersky -> Trojan-PSW.Win64.Stealer.altu
Malwarebytes -> Malware.AI.1956249436
Microsoft -> Ransom:Win32/Avaddon!rfn
Rising -> Ransom.LockFile!8.12D75 (CLOUD)
Tencent -> Malware.Win32.Gencirc.147630f3
TrendMicro -> Ransom.Win64.DESOLATOR.THEAABE
---

© Генеалогия: родство выясняется >> Desolator

Сайт "ID Ransomware" Desolator пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .desolated

Записка с требованием выкупа называется: RecoverYourFiles.txt

Содержание записки о выкупе:

DECRYPTION ID:  3Y49O85TYLYU8TLO5**********

ALL YOUR FILES HAVE BEEN ENCRYPTED 

If you are reading this, your system has been compromised.

all your important files are SECURLY LOCKED ,including:

. Documents

. Photos

. Videos

. Music

. Databases

. Archives

. Projects

etc...

We are not politically motivated, our motivations are purely financial.

we are an independent group of security professionals. 

we have no ties to any government or entity.

HOW TO DECRYPT YOUR FILES 

( OPTIONS 1 ):

1. Download Tor Browser from here, and connect to the onion network:

https://www.torproject.org/download/

2. Contact our support team BEFORE THE DEADLINE at this onion link:

hxxxs://ghe678ihyi8khy8kh5rt87ku8tg34sh5tecvjbkramlkgmjhlkergh8423yumtghw8543mulyb5m.onion

3. Send your DECRYPTION ID mentioned at the top of this file.

4. Our team will respond for negotiation and payments 

( OPTIONS 2 ):

1. Download  Session Messenger from here:

https://getsession.org/

2. Contact our support team at this Session ID:

g58675t7ug57u43dyethdb53dhg7u6t7juf3542s**********

3. Send  your DECRYPTION ID mentioned at the top of this file.

CONTACT DEADLINE : 48 HOURES 

After the 48 hour deadline your ONE-TIME decryption keys WILL BE AUTOMATICALLY DISTROYED 

DO NOT attempt to rename, move, or tamper with encrypted files.

Any such actions may result in irreversible data loss.

->  DO NOT TRY TO DECRYPT THE FILES USING FREE OR COMMERCIAL TOOLS

->  THESE TOOLS WILL ALTER THE FILE STRUCTURE AND IT WON'T BE RECOVERABLE

->  OUR ENCRYPTION TECHNIQUES ARE SECURE, DONT BOTHER TRYING :D

->  WE WILL NOT GUARANTEE DATA RECOVERY IF THE FILES ARE MODIFIED IN ANY WAY 

DECRYPTION PROOF 

. We provide a sample decryption to prove that your files are recoverable

. Send one of your files ( size < 100 MB ) that doesn't contain any important info

. We will send you a decrypted sample immediately

. We will guarantee one-time decryption and you won't be targeted by us ever again

- The Desolated Collective

Другим информатором жертвы является изображение, заменяющее обои Рабочего стола, которое предлагает прочитать файл RecoverYourFiles.txt. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RecoverYourFiles.txt - название файла с требованием выкупа;
desolator.exe - название вредоносного файла;

desolated.ico -  иконка, используемая вредоносом. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL (недействителен): hxxxs://ghe678ihyi8khy8kh5rt87ku8tg34sh5tecvjbkramlkgmjhlkergh8423yumtghw8543mulyb5m.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: f16b85de0d4cc0807dfecd16069e742b 

SHA-1: 633262762080e7cb7acbc5810a5c83edb7911b7e 

SHA-256: 5e88f40a24f42507f85ce180214db231354e8603fb0133f7d612184a5b41b227 

Vhash: 026066655d1555155088z821z33z17z2011z1fz 

Imphash: 0339561cc7d761e0d6f699657a0caa91

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.