Darkness

Darkness Ransomware

Aliases: BLK, DEV

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует связаться с вымогателями по email, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: Darkness. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42550
BitDefender -> Gen:Heur.Ransom.Imps.1
ESET-NOD32 -> A Variant Of Win32/PSW.OnLineGames_AGen.AN
Kaspersky -> Trojan.Win32.DelShad.nse
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Trojan.Kryptik@AI.89 (RDML:71nblL6WuJiEwKtes95YGg)
Tencent -> Malware.Win32.Gencirc.1496ac49
TrendMicro -> Trojan.Win32.VSX.PE04C9f
---

© Генеалогия: родство выясняется >> Darkness

Сайт "ID Ransomware" Darkness пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале июля 2025 г. и продолжилась дальше. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .Darkness

Фактически используется составное расширение по шаблону: [victim_ID].Darkness

Пример зашифрованного файла: apache_start.bat[1912c63].Darkness


Записка с требованием выкупа называется: INFO-DECRYPT.txt

Содержание записки о выкупе:

Your files have been locked.

To restore access to your data please contact us via the email addresses below:

Primary Email: Decryptinformations@gmail.com 

Secondary Email: decryptinformations@protonmail.com

Do NOT change the file extensions. Doing so may result in permanent data loss.

To verify that decryption is possible, you may send two encrypted test files (each smaller than 1MB) to the email addresses above.  

We will decrypt one of them and return it to you as proof.                          

ID :  ***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов с помощью команды:

cmd /c vssadmin.exe delete shadows /all /quiet

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
INFO-DECRYPT.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Email: darknessss11223@gmail.com, Darkness1@onionmail.org

BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA

MD5: 2151df273f67b1c71525424d8e845267

SHA-1: caf993bf8972248abf5f9d0c371d184cc152569c

SHA-256: 2389d899e786f32ae67618491d834fd34779da84535a03c9be0b3d78e802374d

Vhash: 014046655d656078z271z3jz2fz

Imphash: 7ae9e02a3ceabc46b462b3ebda756bae

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 29 июля 2025:

Расширение: .BLK

Записка: HelpDecrypt.txt

Email: Decryptinformations@gmail.com, decryptinformations@protonmail.com  

Другой вариант:

Расширение: .DEV

Email: ransombyte@gmail.com, whatisransom@gmail.com

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 pcrisk, rivitna
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.