NightSpire

NightSpire Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп от $30000 в BTC или больше ($150000 - $2000000), чтобы вернуть файлы. Оригинальное название: NightSpire. Написан на языке программирования Go (Golang). Целевые системы: Windows, Linux и macOS. Распространитель: кибер-преступная группировка NightSpire.

Злоумышленники используют двойное вымогательство (double extortion): похищают данные перед шифрованием, а затем угрожают опубликовать из через свой сайт утечек на базе Tor, если выкуп не будет уплачен. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> NightSpire

Сайт "ID Ransomware" идентифицирует это как NightSpire с 30 сентября 2026. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале марта 2025 и продолжилась в 2025-2026 гг. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших — малые и средние предприятия из сфер производства, здравоохранения, профессиональных услуг и строительства из следующих стран: США, Мексика, Турция, Египет, Испания, Южная Корея, Гонконг, Япония, Тайвань. 

К зашифрованным файлам добавляется расширение: .nspire

Записка с требованием выкупа называется: readme.txt

Содержание записки о выкупе:
***



✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Проникновение может прикрываться с помощью легитимных программ: AnyDesk или Chrome Remote Desktop. 

Может шифровать не только локальные директории, но и файлы в облачном хранилище OneDrive во время синхронизации.

В атаках используются легитимные утилиты для разведки и сбора данных — Everything (для поиска файлов), 7-Zip (для архивации), MEGAsync или Rclone (для выгрузки в облака).

Эксплуатирует уязвимости периметра (например, обход аутентификации в FortiOS/FortiProxy по CVE-2024-55591). 

Список типов файлов, подвергающихся шифрованию:
Для файлов с расширениями .iso, .vhdx, .vmdk, .zip, .vib, .bak, .mdf, .flt, .ldf применяется блочное шифрование блоками по 1 Мб. 

Для всех остальных типов файлов используется полное шифрование. 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
readme.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: prince1990905@gmail.com 
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.