GopherWare

GopherWare Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью  алгоритма SHA-256, а затем просто сообщает о том, что случилось. Оригинальное название: Gopher и GopherWare. На файле написано: gopher.exe.

---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> MSIL/Filecoder.BKL
Kaspersky -> Trojan-Ransom.Win32.Encoder.adkh
Malwarebytes -> ***
Microsoft -> ***
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.148bbb5b
TrendMicro -> ***
---

© Генеалогия: родство выясняется >> GopherWare

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .gph

Тексты с требованием выкупа и результата расшифровки файлов пишутся на экране блокировки: 

Содержание текста от вымогателей:

LOOKS LIKE YOU MESSED UP! YOUR FILES HAVE BEEN PERMANENTLY ENCRYPTED BY GOPHERWARE 

(WHAT HAPPENED?) YOUR FILES HAVE BEEN ENCRYPTED USING THE SHA265 ENCRYPTION ALGORITIHIM DONT EVEN TRY AND RECOVER THEM AS YOU WILL JUST END UP BREAKING THEM LOLOLOLOL

Перевод записки на русский язык:

ПОХОЖЕ, ТЫ ОБЛАЖАЛСЯ! ТВОИ ФАЙЛЫ НАВСЕГДА ЗАШИФРОВАНЫ GOPHERWARE

(ЧТО СЛУЧИЛОСЬ?) ТВОИ ФАЙЛЫ ЗАШИФРОВАНЫ С АЛГОРИТМОМ ШИФРОВАНИЯ SHA265. 

ДАЖЕ НЕ ПЫТАЙСЯ ВОССТАНОВИТЬ ИХ, ТАК ТЫ ИХ ПРОСТО ИСПОРТИШЬ LOLOLOLOL

Другой текст, который выводится на экране:

Enter passkey to decrypt:

Incorrect passkey. Try again.

Passkey accepted. Decrypting files...

Your files have been restored, it is now safe to close this window. Press any key to exit...

[ALERT] Corrupted file structure. Deleting:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
gopher.dll, gopher.exe - названия вредоносных файлов.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\gopher.exe

C:\Users\Deau4th\source\repos\gopher\gopher\obj\Release\net8.0\win-x64\gopher.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: e978ed8661add9e3a1a75c16aea82154 

SHA-1: 906ae72caef3ab8cc7832667c7fe8da41db14457 

SHA-256: 1c48b66677f3ce0db85a38156c71d61f5afefa8c1bbe8cb5538e920778a63a56 

Vhash: 0670a666155d156d1d055148zc46z121c5z13z2ez5 

Imphash: 4b1892ce4fbcfcf064c6f69d693fc6a5

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.