DarkLulz

DarkLulz Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в $50 в XMR, чтобы вернуть файлы. Оригинальное название: DarkLulz. На файле написано: rbf.exe, rbf2.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42510
BitDefender -> Trojan.GenericKD.76712100
ESET-NOD32 -> A Variant Of WinGo/Filecoder.DarkLulz.B
Kaspersky -> Trojan-PSW.Win32.Stealer.crpi
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.LockFile!8.12D75 (CLOUD)
Tencent -> Win32.Trojan.LummaStealer.Azlw
TrendMicro -> Ransom.Win64.DARKLULZ.SM.go
---

© Генеалогия: Prince >> DarkLulz

Сайт "ID Ransomware" DarkLulz пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была во второй половине июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .DarkLulz

Записка с требованием выкупа называется: README_1.txt

Краткая версия записки (без рисунка): 

Содержание записки о выкупе:

~~~ All your files have been encrypted by DarkLulz Ransomware. ~~~

-> How can you trust us?

[+] - We create ransomware to target countries, companies, and more. 

    - Our goal is money. We've been working in ransomware for over 2 years.

-> How can I recover them?

[+] - To recover your files, you must pay $50 crypto of XMR (Monero) to the 

following address : 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

-> How does payment with XMR work?

[+] - Install a crypto wallet that accepts XMR, such as Monero GUI Wallet or MyMonero.

    - Buy $50 in XMR (Monero).

    - Send the amount of crypto to our address below: 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

    - NOTE YOUR TRANSACTION ID ON A PAPER. This is crucial for restoring your files.

-> How is the recovery phase of your files going?

[+] - Send your transaction ID to the following email address: darklulz@onionmail.org.

    - Once completed, we'll respond within 24 hours and send you the decryption software.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README_1.txt - название файла с требованием выкупа;

rbf.exe - название вредоносного файла; 

rbf2.exe - название другого вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: darklulz@onionmail.org
XMR: 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: d89899b6322966009d082a7830e0d07e 

SHA-1: ab295bd0ca6115a4a00c2fc573de17dbe0044c26 

SHA-256: c632d6ab280979c087ba071454d27d5bc7374aeb3ed9e030567e12276d0229d4 

Vhash: 0360f6655d15551555757az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 4aaf857e0caaf12929b2416299d3aa3e 

SHA-1: 7790f069460722b84ab728296999df847aa9ab02 

SHA-256: 7ba3fb5590832e388d4c6742c046ccceb42be8402613a384c270a04256d32b91 

Vhash: 0360f6655d15551555757az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Prince Ransomware с вариантами - июль-ноябрь 2024

CrazyHunter Ransomware - апрель-май 2025

HexaLocker Ransomware - январь 2025  или раньше

HexaLocker-2 Ransomware - апрель 2025 или раньше

DarkLulz Ransomware - июнь 2025

CyberVolk Ransomware (hackerk4) - вариант июня 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PaduckLee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.