H2OWater

H2OWater Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES-256 CTR и RSA-2048, а затем требует выкуп $5000 в USDT, чтобы расшифровать файлы. Оригинальное название: H2OWater. Написан на языке программирования Go. Распространитель: H2OWATER TeAm
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> H2OWater

Сайт "ID Ransomware" H2OWater пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .H2OWATER

Фактически используется составное расширение по шаблону: filename.[cartyjeffery44@gmail.com].H2OWATER

Записка с требованием выкупа называется: Encrypt.html

Содержание записки о выкупе:

You are encrypted!!!

Dear Sir/Madam,We are the H2OWATER TeAm

1. All backup data and entire data are under our control.

2. Please contact us within 24 hours.

3. Please do not repair files or terminate related processes, otherwise it may become impossible to recover.

4. If cooperation goes well, we will not destroy, disclose or sell your data.

5. If you violate the above requirements, all data will be published on the Internet or provided to third party organizations and data recovery will not be provided.

Finally, please pay us a ransom of $5000 USDT within three days as requested

Email:cartyjeffery44@gmail.com

ClientId:

VPMvKJ9hhsHEtXA1StanzGQUliPrhMDBLeUgosrnFvR2hJ+sHY0BsXZMW***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Encrypt.html - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: cartyjeffery44@gmail.com

cartyafter4@gmail.com

BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 rivitna
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.