WStop

WStop Ransomware

Aliases: Fat32, BitCloud, BaseData, Dataserver, SStop

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Написан на языке программирвоания Rust.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> WStop

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в первой половине сентября 2024 г. или раньше, и продолжилась в 2025 году. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .wstop

Фактически используется составное расширение по шаблону: .[[ID]].[[<email>]].wstop

Пример такого расширения: [[OBoTKsHV]].[[BitCloud@cock.li]].wstop

Другие известные расширения с разными email-адресами. 

[[XXXXXXXX]].[[Fat32@airmail.cc]].wstop

[[XXXXXXXX]].[[dataserver@airmail.cc]].wstop

[[XXXXXXXX]].[[BaseData@airmail.cc]].wstop

Записка с требованием выкупа называется: INFORMATION.txt

Содержание записки о выкупе:

THE FILES ON YOUR DEVICE HAVE BEEN ENCRYPTED !!!!!!!!!!!!!

 Due to a security breach, all files on your computer have been encrypted,

 for decryption, send an email to us: BaseData@airmail.cc

 Be sure to specify this ID in the header of the letter

 when contacting us: ***

 To decrypt your files, you will need to pay a certain amount in bitcoins. The decryption rate depends on the speed of your contact with us.

 After payment, you will receive a special tool for decrypting files on your computer.

 As a guarantee, we make a free decryption

 For the test, we can decrypt one small file as proof of decryption. 

 We do not decrypt important files during testing, such as XLS, databases and other important files! 

 We don't consider ourselves criminals! We only show you the problems with your security and get rewarded for our hard work! 

 We never cheat and value our reputation!

 How can I buy Bitcoins?

 Contact us and we will provide you with instructions for buying Bitcoin. 

 Please note that by contacting third parties, the cost may increase due to additional fees. 

 We will help you to purchase bitcoin without unnecessary difficulties, our experienced specialists will tell you in detail about the process.

 This is very important!

 - Do not rename encrypted files.

 - Do not try to decrypt your data using third party software, this may lead to irreversible data loss.

 - No one else will be able to return your files except us!

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
INFORMATION.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: BitCloud@cock.li

Fat32@airmail.cc

dataserver@airmail.cc

BaseData@airmail.cc

BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 30 марта 2025 или раньше:

Расширение: .sstop 
Записка: INFORMATION.txt

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.