ShinySpider, Sh1nySp1d3r

ShinySpider Ransomware

Aliases: Sh1nySp1d3r, ShinySP1D3R, ShinyHunters

(шифровальщик-вымогатель, RaaS, группы хакеров-вымогателей, синдикат киберпреступников) (первоисточник на русском)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов ChaCha20 + RSA-2048, а затем требует выкуп, чтобы вернуть файлы. Ответственные за атаки: ShinyHunters, ShinyCorp. 

Sh1nySp1d3r представляет собой услугу, которая атакует хосты VMware ESXi. Атака направлена ​​на среды гипервизоров для масштабного шифрования виртуальных машин, что усиливает воздействие, нарушая работу целых центров обработки данных и облачных стеков, а не отдельных конечных точек.

Синдикат киберпреступников ShinyHuntersв 2025 году расширил свою тактику, включив в нее голосовой фишинг с использованием искусственного интеллекта, взлом цепочек поставок и вербовку злоумышленников-инсайдеров.

Благодаря сотрудничеству с филиалами Scattered Spider и The Com группа теперь запускает сложные кампании по вишингу против платформ единого входа (SSO) в секторах розничной торговли, авиаперевозок и телекоммуникаций, извлекает огромные наборы данных клиентов и готовится к развертыванию новой программы-вымогателя «shinysp1d3r» как услуги (RaaS), нацеленной на среды VMware ESXi.

Получив доступ, злоумышленники похищают у пострадавших авиакомпаний данные клиентов объемом до 26 ГБ учетных записей пользователей и 16 ГБ записей контактов и угрожают вымогательством в размере семизначных сумм, часто публикуя украденные образцы на LimeWire, чтобы оказать давление на организации.

Лидер ShinyHunters, компания ShinyCorp, активно продает украденные наборы данных совместно с партнерами-вымогателями и другими преступниками, занимающимися электронной преступностью, по ценам, превышающим 1 миллион долларов за компанию.

---
Обнаружения: (нет публичных образцов для анализа)
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >>

Сайт "ID Ransomware" идентифицирует Sh1nySp1d3r c 13-14 ноября 2025 г. 

Информация для идентификации

Активность этого крипто-вымогателя была в ноябре-декабре 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

При шифровании файлов программа-вымогатель использует алгоритм шифрования ChaCha20, а закрытый ключ защищен с помощью RSA-2048. Каждый файл будет иметь свое уникальное расширение. 

Каждый зашифрованный файл содержит заголовок, начинающийся с SPDR и заканчивающийся ENDS , как показано на изображении ниже. Этот заголовок содержит информацию о зашифрованном файле, включая имя файла, зашифрованный закрытый ключ и другие метаданные.

Записка с требованием выкупа называется (пример): R3ADME_1Vks5fYe.txt

Содержание записки о выкупе:

Другим информатором жертвы является изображение,заменяющее обои Рабочего стола.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
R3ADME_1Vks5fYe.txt - пример названия файла с требованием выкупа;

R3ADME_xxxxxxxx.txt - шаблон названия файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.