Rex, Rex48

Rex Ransomware

Rex48 Ransomware

Dementor Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем сообщает о взломе сети и требует выкуп за расшифровку файлов. Оригинальное название: в записке не указано. На файле написано: 0ra9cvl3.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.44943
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> Win64/Filecoder.Dementor.B Trojan
Kaspersky -> Trojan-Ransom.Win32.Encoder.ahex
Malwarebytes -> PasswordStealer.Spyware.Stealer.DDS
Microsoft -> Trojan:Win32/Ravartar!rfn
Rising -> Ransom.Dementor!8.1DB60 (TFE:5:IXiVokobZTU)
Tencent -> ***
TrendMicro -> Ransom.Win64.DEMENTOR.TL0101E226ZZ
---

© Генеалогия: родство выясняется >> Rex (Rex48)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце апреля 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .rex48 или с другой цифрой на конце.


Записка с требованием выкупа называется: RANSOM_NOTE.html

Содержание записки о выкупе:

Your personal ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE WILL PERMANENTLY CORRIPT IT. DO

NOT MODIFY ENCRYPTED FILES. DO NOT RENAME ENCRYPTED FILES.

No software available on internet can help you. We are the only ones able to solve your problem. We gathered highly confidential personal data. These data are currently stored on a private server. This server will be immediately destroyed after your payment. If you decide to not pay. we will release your data to public or re-seller. So you can expect your data to be publicly available in the near future.. We only seek money and our goal is not to damage your reputation or prevent your business from running. You will can send us 2-3 non-important files and we will decrypt it for free to prove we are able to give your files back.

Contact us for price and get decryption software.

Email:

recovery2@salamati.vip

recovery2@amniyat.xyz

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RANSOM_NOTE.html - название файла с требованием выкупа;
0ra9cvl3.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: recovery2@salamati.vip, recovery2@amniyat.xyz
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 9e9055b1a14e5a4466e735f54d344b87

SHA-1: 692c15eb37b396c451cb796e6f3567b855aa86f3

SHA-256: fa21235ec582cfd36a1b539bf1d7eeaf033209b72631dac5b6f36d2dab08500a

Vhash: 026056655d556550a8z35181z53z35z1lz

Imphash: bfd691ca28d94e5bbf3bb1010bcbcef7

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.