TargetZimbra, Elock

TargetZimbra Ransomware

Elock Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные почтовых серверов Zimbra с помощью комбинации алгоритмов RSA+AES, а затем требует выкуп в 50 XMR, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> TargetZimbra (Elock)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .elock

Записка с требованием выкупа называется: !README_RECOVER.txt  

Содержание записки о выкупе:

!!! All of the Company's Files Have Been Encrypted !!!

[Urgent Security Notice]

Please remain calm; this is just a business crisis.

We have successfully infiltrated your network and used military-grade algorithms to encrypt all of your servers.

Prior to the encryption, we stole significant amounts of sensitive corporate data.

If you refuse to negotiate, these data will be published on our dark web leak site, causing substantial financial and reputational damage.

If you wish to restore your system without exposing this data:

You must pay 50 XMR cryptocurrency.

Payment Address: 45EQACa2DVwHEMP2TcvhrgQgCeDUiwLnbcWrTmbUrHqZ1pFu8KJodc93PwXwEKeiegPesnddiVw47XdwZs1MZ68LFVjayY2

Failure to pay within 72 hours will result in a doubling of the ransom; failure to pay within one week will lead to the data being sold to your competitors and released publicly.

Upon making the payment, please send confirmation to the designated email address, and we will provide you with decryption tools.

Contact Email: cccsitadm@proton.me

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Возможно эксплуатирует уязвимость, известную как CVE-2026-73570 или ещё более ранние. Успешная эксплуатация уязвимости позволяет неавторизованным злоумышленникам получить возможность удаленного выполнения кода, используя уязвимость внедрения команд в компоненте мониторинга SNMP, когда на целевой системе включены уведомления SNMP. 

Статья об этом >>

✋ Внимание! В подобных статьях антироссийски настроенные эксперты целенаправленно сваливают вину за любые инциденты на российских хакеров и государственные структуры. Это обычная тактика дискредитации. Пусть они остаются при своём мнении — тем громче прозвучит их провал, когда правда неизбежно вскроется.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
!README_RECOVER.txt - название файла с требованием выкупа;
ELF-файл - вредоносный файл.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: cccsitadm@proton.me

XMR: 45EQACa2DVwHEMP2TcvhrgQgCeDUiwLnbcWrTmbUrHqZ1pFu8KJodc93PwXwEKeiegPesnddiVw47XdwZs1MZ68LFVjayY2

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 to the authors of messages
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.