AiLock

AiLock Ransomware

(шифровальщик-вымогатель, RaaS, группа хакеров) (первоисточник)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов ChaCha20 и NTRUEncrypt256, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: AiLock. Написан на C/C++. Используется в схеме двойного вымогательства. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> AiLock

Сайт "ID Ransomware" идентифицирует AiLock с 18 сентября 2026. 

Информация для идентификации

Активность этого крипто-вымогателя была с марта 2025 г., возможно он был в тени с 2024 года. Активность увеличилась через год — в июне 2026 года, Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .AiLock

Зашифрованные файлы получают свой значок — зелёный замок. 

Записка с требованием выкупа называется: ReadMe.txt

Содержание записки о выкупе:

Hello, 

The key data points of your network has been compromised, and all of your company's critical data has been transferred to our secure systems. 

Positive News:

- We are capable of fully restoring your systems and data.

- If we come to an agreement, this incident will remain confidential between your organization and our team. 

- Our motivation is purely financial, and we do not align with any specific country or political ideology

Terms and Conditions: 

1) You must contact us within 72 hours; otherwise, we will publish an announcement  about the leak of your data.

2) You have 5 days to reach an agreement; If you fail to do so, your data will be published and the recovery tool destroyed.

To initiate the negotiation process, please proceed with the following steps:

1) Download the Tor Browser from it's official website: https://www.torproject.org/

2) Use the provided credentials to log into the Chat for text-based negotiations: hxxx://***qs6wu56n2adj7qrjg25dhcux2nislvjouffpzldj23e4y72akoid.onion/***

We all understand what happened and what consequences await you.

All countries have their own PDPL (Personal Data Protection Law) regulations. 

In the event that you do not agree with us, information pertaining to your companies and the data of your company's customers will be published on the internet, and the respective country's personal data usage authority will be informed. 

Moreover, confidential data related to your company will be shared with potential competitors through email and social media. 

You can be sure that you will incur damages far exceeding the amount we are requesting from you should you decide not to agree with us.

What we offer in exchange for your payment:

  - Full decryption and restoration of systems and data following an incident, completed within 24 hours.

  - We guarantee that all recovered data will remain confidential and that all of your leaked data will be securely deleted from our servers after resolving the incident. We will provide a full deletion log.

  - Expert advice tailored to strengthen your company's IT infrastructure against future threats.

Useful tips that will help you :

1) Do not try to recover files yourself.

2) Do not modify encrypted files.

3) Do not use third party software to restore your data.

Информационный экран AiLock Ransomware, утверждающий о связи с английским хоккеем. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ AiLock добавляет расширение .AiLock к зашифрованным файлам, меняет значки файлов на зеленый замок с именем «AiLock» и заменяет обои рабочего стола на характерный логотип в виде черепа робота. Она использует гибридную схему шифрования, сочетая ChaCha20 для шифрования файлов с NTRUEncrypt для защиты метаданных, и использует многопоточную архитектуру (обход пути и потоки шифрования с IOCP) для повышения эффективности. Хотя активные кампании и места утечек подтверждены, конкретные секторы, регионы и методы проникновения остаются нераскрытыми в открытых источниках.

ReadMe[1].txt

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ReadMe.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
HKCR/.AiLock/DefaultIcon 

HKCU/Control Panel/Desktop 

Мьютексы:
FAUST

Сетевые подключения и связи:
Tor-URL: hxxx://***qs6wu56n2adj7qrjg25dhcux2nislvjouffpzldj23e4y72akoid.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.