KryBit

KryBit Ransomware

(шифровальщик-вымогатель, RaaS, хакерская группа) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп от $40 000 до $100 000 в BTC, чтобы вернуть файлы. Оригинальное название: KRYBIT, указано в записке о выкупе. Целевые платформы: Windows, Linux, VMware ESXi, устройства NAS. Перед шифрованием хакерская группа эксфильтрует данные жертв. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.41942
BitDefender -> Generic.Ransom.Babuk.!s!.G.2B7CD25C
ESET-NOD32 -> Win32/Filecoder.Babyk.A Trojan
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Babuk
Microsoft -> Trojan:Win32/Babuk!ic
Rising -> Ransom.Babuk!1.D7A0 (CLASSIC)
Tencent -> Trojan-Ransom.Win32.Filecoder.16000569
TrendMicro -> Ransom.Win32.BABUK.SMFRA
---

© Генеалогия: Babuk leaked code >> KryBit

Сайт "ID Ransomware" это пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была зафиксирована в марте-апреле 2026 года и продолжилась в течение года. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Цели: производство, здравоохранение, строительство, финансовые услуги, логистика, образование, технологии, розничная торговля, недвижимость, юридические услуги, правительство. 

Страны: Индия, США, Таиланд, Япония, Германия, Австрия, Мексика, Франция, Турция, Бразилия, ЮАР, ОАЭ и другие. 

К зашифрованным файлам добавляется расширение: .KRYBIT

Записка с требованием выкупа называется: RECOVER-README.txt

Содержание записки о выкупе:

--KRYBIT

Your network/system was encrypted.

Encrypted files have new extension.

--Blog

http://krybitxdpx********************************************d.onion

http://krybitx3fh********************************************d.onion

http://krybitqsdz********************************************d.onion

http://krybieodq7********************************************d.onion

-

-- Compromising and sensitive data

We have downloaded compromising and sensitive data from you system/network

If you refuse to communicate with us and we do not come to an agreement, your data will be published.

Data includes:

- Employees personal data, CVs, DL , SSN.

- Complete network map including credentials for local and remote services.

- Financial information including clients data, bills, budgets, annual reports, bank statements.

- Complete datagrams/schemas/drawings for manufacturing in solidworks format

- And more...

-- Warning

If you modify files - our decrypt software won't able to recover data

If you use third party software - you can damage/modify files (see item 1)

You need cipher key / our decrypt software to restore you files.

The police or authorities will not be able to help you get the cipher key. We encourage you to consider your decisions.

-- Recovery

1) Download tor browser: hxxps://www.torproject.org/download/

2) Visit the chat: ***

3) Use this ID to log in: ***

4) Supp: ***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Завершает жёстко заданный список служб и процессов для разблокировки файлов (например, баз данных) и использует API диспетчера перезапуска Windows (RmStartSession, RmGetList) для принудительного закрытия приложений, хранящих дескрипторы целевых файлов. 

Перечисляет локальные диски, скрытые тома и сетевые ресурсы (через NetShareEnum и WNetOpenEnumW), чтобы максимально увеличить область шифрования. 

Удаляет теневые копии томов с помощью команды: 

vssadmin.exe delete shadows /all /quiet 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RECOVER-README.txt - название файла с требованием выкупа;
faktura.exe, xc5h3.exe - названия вредоносных файлов.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URLs: krybitxdpxohsmjooeb3gbgpmdddreh6mnflzac6bnezz74b7yje67yd.onion

krybieodq754vlwufrsuxaswxb5zpxyibaawmed2jaduoz2e5m56hmid.onion

krybitqsdzwmhnitvwuhvsntfgf2wrhxveyxroxpc44c6gkft2cqldyd.onion

ijzn3sicrcy7guixkzjkib4ukbiilwc3xhnmby4mcbccnsd7j2rekvqd.onion

j75o7xvvsm4lpsjhkjvb4wl2q6ajegvabe6oswthuaubbykk4xkzgpid.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 93f8cb3b8b2e4e4ec8d06263f68c953e

SHA-1: 32a185b9d6413a68b7c340cf9c65dcd892e2bde4

SHA-256: dab06e47581b87c21699bb1126b7cb2370cf86d069ad25b9b86cff8e450d7e29

Vhash: 0840565d1555155098z391z2dz33z1fz

Imphash: 202fa14f574c71c2f95878e40a79322d

Степень распространённости: средняя.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Группа хакеров-вымогателей KryBit имела конфликт с другой группой хакеров-вымогателей 0APT. 

Статья об этом >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.