Cortizol

Cortizol Ransomware

Orexin Ransomware

VoidCrypt NextGen

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.44474
BitDefender -> Trojan.GenericKD.79506355
ESET-NOD32 -> Win64/Filecoder.AJP Trojan
Kaspersky -> Trojan.Win32.DelShad.pto
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Paradise!rfn
Rising -> Ransom.Destructor!1.B060 (CLASSIC)
Tencent -> Malware.Win32.Gencirc.14aa0ce9
TrendMicro -> TROJ_GEN.R002H09BN26
---

© Генеалогия: VoidCrypt NextGen >> Cortizol

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в феврале 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .Cortizol

Фактически используется составное расширение по шаблону: 

-id-[victim's_ID][cortizol@atomicmail.io].Cortizol

Записка с требованием выкупа называется: HOW_TO_RECOVER.txt

Содержание записки о выкупе:

All Your Files Has Been Encrypted

You Have to Pay to Get Your Files Back

You cannot decrypt the files yourself. This will only corrupt the files

The only way to decrypt is to purchase a unique private key from us

Only we can give you this key and only we can recover your files

1-Go to C:\ProgramData\ or in Your Drives and send us key.Cortizol key file

2-To be sure we have the decryptor and it works you can send an email: cortizol@atomicmail.io and decrypt one file for free.

But this file should be of not valuable!

3-Changing Windows without saving KEY.Cortizol file will cause permanent Data loss

Do you want to restore your files?

Write to email: cortizol@atomicmail.io

Or send me a message on Telegram. My ID: hxxxs://t.me/Cortizol2025

ID: id-6640599***

Attention!

* Do not rename encrypted files.

* Do not try to decrypt your data using third party software, it may cause permanent data loss.

Записка с требованием выкупа и контактами написана также на изображении, заменяющем обои Рабочего стола: 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW_TO_RECOVER.txt - название файла с требованием выкупа;
KEY.Cortizol - специальный файл;

<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: cortizol@atomicmail.io
Telegram: t.me/Cortizol2025

BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: e6d55104899db6595da62a549be5fe31

SHA-1: de1b4c4d6c414042ac27f32c92d3040509067d7f

SHA-256: 7506874f79a445a57796da478f24a22d0efc4376b09526d34343aacd32196456

Vhash: 056186655d156d0d1d1d10b3z40f009dhz42z234z1b6z1

Imphash: 1f220e589006a615c46821934378c7fe

Степень распространённости: средняя.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

VoidCrypt Ransomware - апрель 2020
Cortizol Ransomware - февраль 2026

Orexin Ransomware - июль 2026

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 3 июля 2026 

Расширение: .orexin

Составное расширение: -id-XXXXXXXXXX[orexin@atomicmail.io].orexin

Записка: HOW_TO_RECOVER.txt

Email: orexin@atomicmail.io

Telegram: @orexin2026

IOC: VT

MD5: d62158a28b42aa074b347485b362c938

SHA-1: 165b98891edc40cc185343d937b65a28235fb7f1

SHA-256: 515ee8f7dc5ab2a71807e00fc301c454e926cfa1f32ed5805993d5817bf02919

Vhash: 036176655d5d0d1d1d1d10d3z40f0088hz42z234z1b6z1

Imphash: 039bb4f0f1ee84c2d71a8fdcc5cdb743

➤ Обнаружения: 

DrWeb -> Trojan.Siggen32.64877

BitDefender -> Dump:Generic.Ransom.HydraCrypt.5005885E

ESET-NOD32 -> Win32/Filecoder.OWU Trojan

Kaspersky -> Trojan-Ransom.Win32.Limbozar.eo

Malwarebytes -> Trojan.MalPack

Microsoft -> Ransom:Win32/Cortizol.YDQ!MTB

Rising -> Ransom.Destructor!1.B060 (CLASSIC)

Tencent -> Trojan.Win32.DelShad.16003763

TrendMicro -> Trojan.Win32.ZYX.USBLG326

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.