PyCipher 2022

PyCipher 2022 Ransomware

CryptoCipher Py Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в 0.003 BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Язык программирования: Python.
---
Обнаружения:
DrWeb -> Python.Encoder.49
BitDefender -> Gen:Variant.Tedy.66613
ESET-NOD32 -> Python/Filecoder.DM
Kaspersky -> HEUR:Trojan.Win32.Generic
Malwarebytes -> Ransom.FileCryptor.Python.Generic
Microsoft -> Ransom:Win64/CryptoLocker.MK!MTB
Rising -> Ransom.Agent!1.D430 (CLASSIC)
Symantec -> Ransom.Raasnet
Tencent -> Win32.Trojan.Filecoder.Liqt
TrendMicro -> TROJ_FRS.0NA104A122
---

© Генеалогия: предыдущие Python-вымогатели >> PyCipher 2022

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 - начале января 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .CRYPT 

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

Do not close this message !!!

Hi, don't worry. All of your files have been encrypted. 

To return your files, you need to send 0.003 bitcoin 

to the address 1NNLcGozxxNmFypZB4rgnmvuCju2pxfAQQ 

if within 10 hours there is no payment, all your files will be deleted ...

You can pay through various crypto-exchanges (Binance, Coinbase and others), 

crypto exchanges or from your personal bitcoin wallet.

After payment you will receive a decoder and an unlock key and all your 

files will be unlocked. 

Do not try to unlock it yourself, you will only waste time, and after 

10 hours all files will be deleted. A strong encryption method is used 

for encryption.

Communication after payment

telegram: @crypto_support_id_43274

Перевод записки на русский язык:

Не закрывайте это сообщение!!!

Привет, не волнуйтесь. Все ваши файлы были зашифрованы.

Чтобы вернуть ваши файлы, вам нужно отправить 0.003 биткойна

по адресу 1NNLcGozxxNmFypZB4rgnmvuCju2pxfAQQ

если в течение 10 часов не будет оплаты, все ваши файлы будут удалены...

Оплатить можно через различные криптобиржи (Binance, Coinbase и другие),

криптобиржи или из вашего личного биткойн-кошелька.

После оплаты вы получаете декодер и ключ разблокировки и все ваши

файлы будут разблокированы.

Не пытайтесь разблокировать его сами, вы только потратите время, а после

10 часов все файлы будут удалены. Используется надежный метод шифрования

для шифрования.

Связь после оплаты

telegram: @crypto_support_id_43274

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
4kvideodownloader_4.18_x64Crack.exe (yzelus2gx.dll) - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\_MEI9442\Crypto\Cipher

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Telegram: @crypto_support_id_43274
BTC: 1NNLcGozxxNmFypZB4rgnmvuCju2pxfAQQ

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 346b3c83128f1918b162694eec15963d

SHA-1: 8c363d01e47d6dffd66044b1a34a78c5a1aac59c

SHA-256: d6c39d7d9be421b66517d195180f7156c52c3fadba440d5d3d26ff6b1d45aa1a

Vhash: 027076655d15551575504013z30065mz11fz

Imphash:5324ac1e1bceff69ec8d4435c50bfe0e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

XYZconfig

XYZconfig Ransomware

JuanJoRodriguez Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в 100-150 XMR, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: config.exe. Написан на языке Go. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.34855
BitDefender -> Gen:Variant.Razy.921131
ESET-NOD32 -> A Variant Of WinGo/Filecoder.AY
Kaspersky -> Trojan-Ransom.Win32.Encoder.owc
Malwarebytes -> Ransom.FileCryptor.GO
Microsoft -> Trojan:Win32/Mamson.A!ac
Rising -> Ransom.Encoder!8.FFD4 (CLOUD)
Symantec -> Downloader
Tencent -> Win32.Trojan.Encoder.Taev
TrendMicro -> TROJ_FRS.0NA103A222
---

© Генеалогия: ✂ Hive, Decaf + Malicious Library >> XYZconfig

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале января 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .xyz

Записка с требованием выкупа называется: _Readme_.txt

Содержание записки о выкупе:

NOT YOUR LANGUAGE? USE https://translate.google.com

What happened to your files ?

All of your files are now protected by a strong encryption method.

If you have valuable data don't waste your time, because there is NO other way to get your files back, except through my decryption tool that you can buy following the below steps.

FOLLOW THESE STEPS:

1)Send 100 XMR (Monero) to 4ASaDVQiHE59wGWvvamXPaekxsw4p2K5n3YrmXzwfVaL2QiPTG78iVsDkhxdc8fPPzaQxBCUJ6u5Rbum16LBstY4SAQQ8Mj (you can buy following the official guide https://www.getmonero.org/community/merchants/)

2)Send your Transaction Key to prove the payment via mail to juanjoorodriguez@protonmail.com and juanjo.rodriguez@tutanota.com

3)You will receive the instructions to your mail on how to decrypt your files within 24 hours (If you can not wait 24 hours make a payment of 150 XMR instead, you will receive the instructions in 2 hours)

KEEP IN MIND THAT FOLLOWING THESE STEPS WILL GIVE YOUR FILE BACK 100%, ANY OTHER METHOD WILL NOT WORK.

YOUR UNIQUE ID:

775173446b657547393345615377594f3659393535666f7a52***

Перевод записки на русский язык:

НЕ ВАШ ЯЗЫК? ИСПОЛЬЗУЙТЕ https://translate.google.com

Что случилось с вашими файлами?

Все ваши файлы теперь защищены надежным методом шифрования.

Если у вас есть ценные данные, не тратьте свое время, т.к. нет другого способа вернуть ваши файлы, только с моим инструментом дешифрования, который вы можете купить, сделав следующие шаги.

СЛЕДУЙ ЭТИМ ШАГАМ:

1)Отправьте 100 XMR (Monero) на 4ASaDVQiHE59wGWvvamXPaekxsw4p2K5n3YrmXzwfVaL2QiPTG78iVsDkhxdc8fPPzaQxBCUJ6u5Rbum16LBstY4SAQQ8Mj (купить можно по официальному руководству https://www.getmonero.org/community/merchants/)

2) Отправьте ключ транзакции для подтверждения платежа по почте на juanjoorodriguez@protonmail.com и juanjo.rodriguez@tutanota.com.

3)Вы получите на почту инструкцию как расшифровать ваши файлы в течение 24 часов (Если вы не можете ждать 24 часа, сделайте вместо этого платеж в размере 150 XMR, вы получите инструкцию в течение 2 часов)

ПОМНИТЕ, ЧТО СЛЕДУЮЩИЕ ЭТИ ШАГИ ВЕРНУТ ВАШ ФАЙЛ НА 100%, ЛЮБОЙ ДРУГОЙ МЕТОД НЕ РАБОТАЕТ.

ВАШ УНИКАЛЬНЫЙ ID:

775173446b657547393345615377594f3659393535666f7a52***

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Распространяется с помощью сайтов пиратского ПО, перепакованных и заражённых инсталляторов. 

Может также распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_Readme_.txt - название файла с требованием выкупа;
config.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\config.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: juanjoorodriguez@protonmail.com, juanjo.rodriguez@tutanota.com
XMR (Monero):  4ASaDVQiHE59wGWvvamXPaekxsw4p2K5n3YrmXzwfVaL2QiPTG78iVsDkhxdc8fPPzaQxBCUJ6u5Rbum16LBstY4SAQQ8Mj

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: cf351819c69c94fbdaec24cb8c30990b

SHA-1: 4911d5384ca3720c48a0c8ba47b1edba33dfa0ff

SHA-256: 25d18c3823a3b210a18e69c823ce4c59fab298c315ac2a5d891027921d1c6d7e

Vhash: 026066655d5d15541az28!z

Imphash: c7269d59926fa4252270f407e4dab043

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

NoWay

NoWay Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель делает вид, что шифрует данные пользователей с помощью комбинации алгоритмов AES-256 + RSA, а затем требует выкуп $250 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения (вспомогательный файл):
DrWeb -> Trojan.Inject4.23400
BitDefender -> Trojan.GenericKD.38423059
ESET-NOD32 -> A Variant Of Win64/Kryptik.CMZ
Kaspersky -> Backdoor.Win32.Androm.uydg
Malwarebytes -> Trojan.Injector
Microsoft -> Trojan:Win32/Woreflint.A!cl
Rising -> Backdoor.Androm!8.113 (CLOUD)
Symantec -> Trojan.Gen.MBT
Tencent -> Win32.Backdoor.Androm.Sunp
TrendMicro -> TROJ_GEN.R002H0CLU21
---

© Генеалогия: ??? >> NoWay

Сайт "ID Ransomware" идентифицирует это как NoWay. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К фейк-зашифрованным файлам добавляется расширение: .noway

Имя файла вместе с расширением кодируется в base64 и может быть восстановлено с помощью онлайн-декодера на сайте base64decode.net. 

Если убрать расширение .noway и декодировать имя файла, то файл можно открыть, как обычно. Это довольно сложно сделать для множества зашифрованных файлов, поэтому лучше использовать дешифровщик (см. ссылку в конце статьи). 

Записка с требованием выкупа называется: Unlock your file Instraction.txt

Содержание записки о выкупе:

All your files have been Encrypted with the AES-256 encryption algorithym

making your files inaccessible. I will show you how to get them back.

You have 72 hours starting from now to pay your ransom before your

private key is deleted from our servers permenantly, making your files

inaccessible forever, If you try to damage, remove or tamper with this

software in any way your  key will self destruct.

Instructions to recover your files :

1. Go to https://login.blockchain.com/#/signup or any website where you can buy bitcoin and set up a new wallet.

2. Purchase 250$ of bitcoins .

3. Send 250$ of bitcoins to the address : 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

4. then send your transaction ID to : michael.adler@swsemarketing.ca

to get your decryption key for your files

Перевод записки на русский язык:

Все ваши файлы зашифрованы с алгоритмом шифрования AES-256, что делает ваши файлы недоступными. Я покажу вам, как их вернуть. 

У вас есть 72 часа, начиная с этого, чтобы заплатить выкуп, прежде чем ваш закрытый ключ будет навсегда удален с наших серверов, что сделает ваши файлы недоступными навсегда. Если вы попытаетесь повредить, удалить или вмешаться в эту программу, ваш ключ самоуничтожится. 

Инструкции по восстановлению ваших файлов:

1. Перейдите на https://login.blockchain.com/#/signup или на любой другой веб-сайт, на котором вы можете купить биткойны и настроить новый кошелек.

2. Купите 250$ биткойнов.

3. Отправьте 250$ биткойнов на адрес: 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

4. затем отправьте свой ID транзакции на адрес: michael.adler@swsemarketing.ca

чтобы получить ключ дешифрования ваших файлов

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся фейк-шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Unlock your file Instraction.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: michael.adler@swsemarketing.ca
BTC: 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов (связаны с DarkVision RAT): 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 5a0160ed4f57e8aeb9ce39f1d3606548

SHA-1: 1eef4cfb70cceced854911d189679c50d86e6af1

SHA-256: cd728d0db13233a07740e7f802582f375ff625a9966e68e41cca051ebf19daad

Vhash: 045066555d1555751021z14z57jz11zffz

Imphash: 19c1a6dfbb72165cd68f322978fb4434

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support
 ***

Внимание!
Файлы можно расшифровать. 
Скачать Emsisoft Decryptor for NoWay >> 

 Thanks: 
 Michael Gillespie, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Cincoo

Cincoo Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп 6000$ в Monero, чтобы вернуть файлы. Оригинальное название: Cincoo. На файле написано: Cincoo.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.35063
BitDefender -> Gen:Variant.Doina.30220
ESET-NOD32 -> A Variant Of Win32/Filecoder.OJT
Kaspersky -> HEUR:Trojan-Ransom.Win32.Agent.gen
Malwarebytes -> Malware.AI.3948084152
Microsoft -> TrojanDownloader:Win32/Convagent!mclg
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Aisc
---

© Генеалогия: ??? >> Cincoo

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г.  Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: _enc

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

Some of your files unavailable

We wait our reward: 6000$

Payment method:

Monero : 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

After payment files will automatically restored

Contacts:

nm67p7a@mailfence.com

Перевод записки на русский язык:

Некоторые из ваших файлов недоступны

Ждём нашу награду: 6000$

Способ оплаты:

Монеро: 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

После оплаты файлы автоматически вернутся

Контакты:

nm67p7a@mailfence.com

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
Cincoo.pdb - название файла проекта; 

Cincoo.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\repos\Cincoo\Cincoo\Cincoo\Release\Cincoo.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: nm67p7a@mailfence.com
Monero (XMR): 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 7976be9650ff52c6d9900a10999b1aa3

SHA-1: fe28575b83718ac91e2e4dea643d0e897ef80b59

SHA-256: 9ccba9179e1e36fc5571738fb046617955e9d145116b2aa028e335e5d7153b99

Vhash: 045056655d15556az5a!z

Imphash: 830d812500c3679c26a817c662020cf5

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.