Rex, Rex48

Rex Ransomware

Rex48 Ransomware

Dementor Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем сообщает о взломе сети и требует выкуп за расшифровку файлов. Оригинальное название: в записке не указано. На файле написано: 0ra9cvl3.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.44943
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> Win64/Filecoder.Dementor.B Trojan
Kaspersky -> Trojan-Ransom.Win32.Encoder.ahex
Malwarebytes -> PasswordStealer.Spyware.Stealer.DDS
Microsoft -> Trojan:Win32/Ravartar!rfn
Rising -> Ransom.Dementor!8.1DB60 (TFE:5:IXiVokobZTU)
Tencent -> Malware.Win32.Gencirc.11e5a799
TrendMicro -> Ransom.Win64.DEMENTOR.TL0101E226ZZ
---

© Генеалогия: родство выясняется >> Rex (Rex48)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце апреля 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .rex48 или с другой цифрой на конце.


Записка с требованием выкупа называется: RANSOM_NOTE.html

Содержание записки о выкупе:

Your personal ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE WILL PERMANENTLY CORRIPT IT. DO

NOT MODIFY ENCRYPTED FILES. DO NOT RENAME ENCRYPTED FILES.

No software available on internet can help you. We are the only ones able to solve your problem. We gathered highly confidential personal data. These data are currently stored on a private server. This server will be immediately destroyed after your payment. If you decide to not pay. we will release your data to public or re-seller. So you can expect your data to be publicly available in the near future.. We only seek money and our goal is not to damage your reputation or prevent your business from running. You will can send us 2-3 non-important files and we will decrypt it for free to prove we are able to give your files back.

Contact us for price and get decryption software.

Email:

recovery2@salamati.vip

recovery2@amniyat.xyz

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RANSOM_NOTE.html - название файла с требованием выкупа;
0ra9cvl3.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: recovery2@salamati.vip, recovery2@amniyat.xyz
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 9e9055b1a14e5a4466e735f54d344b87

SHA-1: 692c15eb37b396c451cb796e6f3567b855aa86f3

SHA-256: fa21235ec582cfd36a1b539bf1d7eeaf033209b72631dac5b6f36d2dab08500a

Vhash: 026056655d556550a8z35181z53z35z1lz

Imphash: bfd691ca28d94e5bbf3bb1010bcbcef7

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

KryBit

KryBit Ransomware

(шифровальщик-вымогатель, RaaS, хакерская группа) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп от $40 000 до $100 000 в BTC, чтобы вернуть файлы. Оригинальное название: KRYBIT, указано в записке о выкупе. Целевые платформы: Windows, Linux, VMware ESXi, устройства NAS. Перед шифрованием хакерская группа эксфильтрует данные жертв. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.41942
BitDefender -> Generic.Ransom.Babuk.!s!.G.2B7CD25C
ESET-NOD32 -> Win32/Filecoder.Babyk.A Trojan
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Babuk
Microsoft -> Trojan:Win32/Babuk!ic
Rising -> Ransom.Babuk!1.D7A0 (CLASSIC)
Tencent -> Trojan-Ransom.Win32.Filecoder.16000569
TrendMicro -> Ransom.Win32.BABUK.SMFRA
---

© Генеалогия: Babuk leaked code >> KryBit

Сайт "ID Ransomware" это пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была зафиксирована в марте-апреле 2026 года и продолжилась в течение года. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Цели: производство, здравоохранение, строительство, финансовые услуги, логистика, образование, технологии, розничная торговля, недвижимость, юридические услуги, правительство. 

Страны: Индия, США, Таиланд, Япония, Германия, Австрия, Мексика, Франция, Турция, Бразилия, ЮАР, ОАЭ и другие. 

К зашифрованным файлам добавляется расширение: .KRYBIT

Записка с требованием выкупа называется: RECOVER-README.txt

Содержание записки о выкупе:

--KRYBIT

Your network/system was encrypted.

Encrypted files have new extension.

--Blog

http://krybitxdpx********************************************d.onion

http://krybitx3fh********************************************d.onion

http://krybitqsdz********************************************d.onion

http://krybieodq7********************************************d.onion

-

-- Compromising and sensitive data

We have downloaded compromising and sensitive data from you system/network

If you refuse to communicate with us and we do not come to an agreement, your data will be published.

Data includes:

- Employees personal data, CVs, DL , SSN.

- Complete network map including credentials for local and remote services.

- Financial information including clients data, bills, budgets, annual reports, bank statements.

- Complete datagrams/schemas/drawings for manufacturing in solidworks format

- And more...

-- Warning

If you modify files - our decrypt software won't able to recover data

If you use third party software - you can damage/modify files (see item 1)

You need cipher key / our decrypt software to restore you files.

The police or authorities will not be able to help you get the cipher key. We encourage you to consider your decisions.

-- Recovery

1) Download tor browser: hxxps://www.torproject.org/download/

2) Visit the chat: ***

3) Use this ID to log in: ***

4) Supp: ***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Завершает жёстко заданный список служб и процессов для разблокировки файлов (например, баз данных) и использует API диспетчера перезапуска Windows (RmStartSession, RmGetList) для принудительного закрытия приложений, хранящих дескрипторы целевых файлов. 

Перечисляет локальные диски, скрытые тома и сетевые ресурсы (через NetShareEnum и WNetOpenEnumW), чтобы максимально увеличить область шифрования. 

Удаляет теневые копии томов с помощью команды: 

vssadmin.exe delete shadows /all /quiet 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RECOVER-README.txt - название файла с требованием выкупа;
faktura.exe, xc5h3.exe - названия вредоносных файлов.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URLs: krybitxdpxohsmjooeb3gbgpmdddreh6mnflzac6bnezz74b7yje67yd.onion

krybieodq754vlwufrsuxaswxb5zpxyibaawmed2jaduoz2e5m56hmid.onion

krybitqsdzwmhnitvwuhvsntfgf2wrhxveyxroxpc44c6gkft2cqldyd.onion

ijzn3sicrcy7guixkzjkib4ukbiilwc3xhnmby4mcbccnsd7j2rekvqd.onion

j75o7xvvsm4lpsjhkjvb4wl2q6ajegvabe6oswthuaubbykk4xkzgpid.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 93f8cb3b8b2e4e4ec8d06263f68c953e

SHA-1: 32a185b9d6413a68b7c340cf9c65dcd892e2bde4

SHA-256: dab06e47581b87c21699bb1126b7cb2370cf86d069ad25b9b86cff8e450d7e29

Vhash: 0840565d1555155098z391z2dz33z1fz

Imphash: 202fa14f574c71c2f95878e40a79322d

Степень распространённости: средняя.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Группа хакеров-вымогателей KryBit имела конфликт с другой группой хакеров-вымогателей 0APT. 

Статья об этом >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

EDPT, PIZ

EDPT Ransomware

PIZ Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: EDPT (Emergency Data Protection Tool) . На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> EDPT

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена с апреля по сентябрь 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .piz

Записка с требованием выкупа называется: 

_readme.txt

!!!_README.txt

могут быть другие варианты названий

Содержание записки о выкупе:

=== ENCRYPTED FILES RECOVERY ===

==========================

Your files have been encrypted!

Contact us for recovery:

Email: piztoreco@gmail.com

Do not attempt to decrypt files yourself!

-----------------------------------------------

Your ID: c9b4d74980cca525d5bcc4f5aa9b30a***

-----------------------------------------------

==========================

=== ENCRYPTED FILES RECOVERY ===

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_readme.txt или !!!_README.txt - названия файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: piztoreco@gmail.com
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Edward0303, rivitna
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.