Monkey

Monkey Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: Monkey ransomware. Написан на языке программирования Rust. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.43529
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> A Variant Of Win64/Filecoder.Monkey.A
Kaspersky -> Trojan.Win32.DelShad.osy
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win64/MonkeyCrypt.PB!MTB
Rising -> Ransom.LockFile!8.12D75 (CLOUD)
Tencent -> Malware.Win32.Gencirc.10c3ff97
TrendMicro -> Ransom.Win64.MONKEYRAN.THJBABE
---

© Генеалогия: родство выясняется >> Monkey

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине октября 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .monkey


Записка с требованием выкупа называется: How_to_recover_your_files.txt

Вымогатель меняет изображение Рабочего стола на свое изображение:

Содержание записки о выкупе:

Hello,

If you're reading this, your company's network is encrypted and most backups are destroyed. We have also exfiltrated a significant amount of your internal data.

ATTENTION! Strictly prohibited:

- Deleting or renaming encrypted files;

- Attempting recovery with third-party tools;

- Modifying file extensions.

Any such actions may make recovery impossible.

What you need to know:

1. Contact us at monkeyransomware@onionmail.org within 24 hours.

2. Payment after 24 hours will be increased.

3. We offer you a test decryption and proof of data exfiltration.

4. If no agreement is reached, your data will be sold and published.

We're open to communication, but there will be no negotiations after deadline.

Your only chance to get your data back and avoid data leak is to follow our instructions exactly.

***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:

How_to_recover_your_files.txt - название файла с требованием выкупа;

<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: monkeyransomware@onionmail.org
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: e28c75f68f337b23c2306efe83756b50 

SHA-1: d3e54c4edd8cf6c06f73343efa9de5688e4386a7 

SHA-256: 57aebadf554e03a405a30d8ddad8caa8cfe9fa86eb32f672066dcf63691481ca 

Vhash: 0660a66d1555655c051d0072z1e3z91a1z19za5z14z1f7z 

Imphash: 1b8ccf92a5f1c9b8f0b778c468e762a1

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.