RADAR

RADAR Ransomware

Radar Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей с помощью комбинации алгоритмов помощью комбинации алгоритмов, а затем требует связаться с вымогателями, чтобы купить у них RADAR Decryptor и расшифровать файлы. Оригинальное название: RADAR. На файле написано: нет данных. Используется группой Dispossessor, связанной с BianLian Extortion Group, и активной с августа 2023 года. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.40677
BitDefender -> Trojan.GenericFCA.Agent.124089
ESET-NOD32 -> A Variant Of WinGo/Agent_AGen.BH 
Kaspersky -> UDS:Trojan-Ransom.Win32.Encoder
Malwarebytes -> Generic.Malware/Suspicious
Microsoft -> Ransom:Win64/Radar.YAB!MTB
Rising -> ***
Tencent -> Win32.Trojan-Ransom.Encoder.Gajl
TrendMicro -> Ransom_Radar.R002C0DGP24
---

© Генеалогия:  BianLiab, ✂ LockBit 3 >> RADAR

Сайт "ID Ransomware" идентифицирует это как Radar с 27 июля 2024. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине июля 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Деятельность вымогателей направлена на малый и средний бизнес, среди пострадавших есть объекты в США, Аргентины, Австралии, Бельгии, Бразилии, Гондураса, Индии, Канады, Хорватии, Перу, Польши, Великобритании, ОАЭ и Германии.

Начиная с июня 2024 года злоумышленники начали использовать утекший в сеть шифровальщик от LockBit 3.0 [VT] для использования в своих собственных атаках шифрования файлов жертв, значительно увеличив масштабы своих атак.

К зашифрованным файлам добавляется расширение: .<random{8}> или <random{n}>

Записка с требованием выкупа называется: README_FOR_DECRYPT.txt

Содержание записки о выкупе:

RADAR

Your network has been breached and all major data were encrypted.

Important files have been downloaded from your servers and are ready to be published on TOR blogs.

To decrypt all the data and prevent exfiltrated files to be disclosed on TOR blogs, dataleak forums, dataleak databases, telegram channels etc with lot of tags/videos on twitter/facebook you should purchase our decryption tool. We will provide you a proof video how our Decryption Tool works.

Please contact our sales department at Skype: hxxxs://join.skype.com/invite/MO0SAOWRh0zo

We appreciate and respect everyone, that's why in Skype you will get a proof, we will record a video of 5-10 files of your choice.

Follow the guidelines below to avoid losing your data:

- Do not modify, rename or delete encrypted files. In result your data will be undecryptable.

- Do not modify or rename encrypted files. You will lose them.

- Do not report to the Police, FBI, etc. They don't care about your business. They simply won't allow you to pay. As a result you will lose everything and your data, recorded data on videos etc will be published.

- Do not hire a recovery company. They can't decrypt files without our Decryption Tool. They also don't care about your business. They believe that they are good negotiators, but it is not. They usually fail. You should contact with us yourself and we'll guarantee you 10077BCB65CA365CF885446C7CB6B4ABA99uccessful decryption without any loss + exfiltrated data erasing from our servers.

- Do not reject to purchase RADAR Decryptor from us, otherwise exfiltrated files will be publicly disclosed with video of files.

P.S. Do not repeat the same mistakes as other companies did with us, for example our old case with a small Spain Company: ALVAC S.A. Their Website - hxxxs://alvac.es

Our media team published files and videos, because they didn't pay as in time. Small part of proofs:

hxxxs://vimeo.com/752214614

hxxxs://hacknotice.com/2022/10/01/alvac-sa/

hxxxs://twitter.com/elhackernet/status/1576678217603502080

hxxxs://twitter.com/search?q=alvacvimeo&src=typed_query&f=live

Lot of telegram channels like hxxxs://t.me/elconfidencial , hxxxs://t.me/baseleak , all darkweb resources list from here -  hxxxs://github.com/fastfire/deepdarkCTI/blob/main/telegram.md

We have a direct contact with a list of ransomware owners in jabber and tox, you can see all the companies that refused to cooperate with us, TOR/onion URLs: hxxx://xb6q2aggycmlcrjtbjendcnnwpmmwbosqaugxsqb4nx6cmod3emy7sad.onion

hxxx://mbrlkbtq5jonaqkurjwmxftytyn2ethqvbxfu4rgjbkkknndqwae6byd.onion

hxxx://bianlianlbc5an4kgnay3opdemgcryg2kpfcbgczopmm3dnbz3uaunad.onion/

hxxx://alphvmmm27o3abo3r2mlmjrpdmzle3rykajqc5xsj7j7ejksbpsa36ad.onion

hxxx://knight3xppu263m7g4ag3xlit2qxpryjwueobh7vjdc3zrscqlfu3pqd.onion/

For ALVAC SA we hired 3rd party team of data analysts with OSINT-specialists. Because of adding such 3rd parties, the price for Decryption Tool and exfiltrated data erasing has been increased. In result they suffered significant problems due disastrous consequences, leading to loss of valuable intellectual property and other sensitive information, GDPR issues, costly incident response efforts, information misuse/abuse, loss of customer trust, brand and reputational damage, legal and regulatory issues. And it will never end for them, as their files are constantly downloaded and videos are viewed by people from all over the World.

That's why we don't recommend to ignore us.

Перевод записки на русский язык:

RADAR

Ваша сеть была взломана, и все основные данные были зашифрованы.

Важные файлы были загружены с ваших серверов и готовы к публикации в блогах TOR.

Чтобы расшифровать все данные и предотвратить раскрытие украденных файлов в блогах TOR, форумах по утечке данных, базах данных по утечке данных, каналах Telegram и т. д. с большим количеством тегов/видео в Twitter/Facebook, вам следует приобрести наш инструмент для расшифровки. Мы предоставим вам видеодоказательство того, как работает наш инструмент для расшифровки.

Пожалуйста, свяжитесь с нашим отделом продаж в Skype: hxxxs://join.skype.com/invite/MO0SAOWRh0zo

Мы ценим и уважаем каждого, поэтому в Skype вы получите доказательство, мы запишем видео из 5-10 файлов по вашему выбору.

Следуйте приведенным ниже инструкциям, чтобы не потерять свои данные:

- Не изменяйте, не переименовывайте и не удаляйте зашифрованные файлы. В результате ваши данные нельзя будет расшифровать.

- Не изменяйте и не переименовывайте зашифрованные файлы. Вы их потеряете.

- Не сообщайте в полицию, ФБР и т. д. Им плевать на ваш бизнес. Они просто не позволят вам платить. В результате вы потеряете все, а ваши данные, записанные данные на видео и т. д. будут опубликованы.

- Не нанимайте компанию по восстановлению данных. Они не могут расшифровать файлы без нашего инструмента дешифрования. Им также плевать на ваш бизнес. Они считают, что они хорошие переговорщики, но это не так. Обычно они терпят неудачу. Вам следует связаться с нами самостоятельно, и мы гарантируем вам 10077BCB65CA365CF885446C7CB6B4ABA99успешную расшифровку без каких-либо потерь + удаление извлеченных данных с наших серверов.

- Не отказывайтесь от покупки RADAR Decryptor у нас, в противном случае извлеченные файлы будут публично раскрыты вместе с видеофайлами.

P.S. Не повторяйте тех же ошибок, которые другие компании совершили с нами, например, наш старый случай с небольшой испанской компанией: ALVAC S.A. Их веб-сайт ***

Наша медиа-команда опубликовала файлы и видео, потому что они не заплатили вовремя. Небольшая часть доказательств: ***

Информация для прочтения также есть на изображении background.png, заменяющем обои Рабочего стола: 

Во время теста Рабочий стол со всеми файлами и ярлыками перезагружался каждые несколько секунд. Видимо так они изображают радар, отсюда такое название. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README_FOR_DECRYPT.txt - название файла с требованием выкупа;

background.png - изображение, заменяющее обои Рабочего стола; 
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\background.png

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
сайты злоумышленников: radar.tld, dispossessor.com, cybernewsint.com (сайт фейковых новостей), cybertube.video (сайт фейковых видео) и dispossessor-cloud.com

Tor-URLs: hxxx://xb6q2aggycmlcrjtbjendcnnwpmmwbosqaugxsqb4nx6cmod3emy7sad.onion

hxxx://mbrlkbtq5jonaqkurjwmxftytyn2ethqvbxfu4rgjbkkknndqwae6byd.onion

hxxx://bianlianlbc5an4kgnay3opdemgcryg2kpfcbgczopmm3dnbz3uaunad.onion/

hxxx://alphvmmm27o3abo3r2mlmjrpdmzle3rykajqc5xsj7j7ejksbpsa36ad.onion

hxxx://knight3xppu263m7g4ag3xlit2qxpryjwueobh7vjdc3zrscqlfu3pqd.onion/

Из них открывается только: hxxx://bianlianlbc5an4kg***

Skype: hxxxs://join.skype.com/invite/MO0SAOWRh0zo

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG

MD5: 7aa09e4360e6f20bddf496b1a761625c 

SHA-1: 69a82326b7dfd32c13aaafe6f35513041677e2bc 

SHA-256: 5bc9478d90533ebccf09c7204999853bae36db997b230e2809090c7827c8ced0 

Vhash: 026086655d15551d15541az2f!z 

Imphash: c2d457ad8ac36fc9f18d45bffcd450c2

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Новость от 12 августа 2024: 

ФБР объявило об аресте серверов и веб-сайтов Radar/Dispossessor Ransomware в результате совместной международной операции. 

Статья об этом на сайте BC >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Obsidian ORB, LethalLock

Obsidian Ransomware

LethalLock Ransomware

Variants: Obsidian ORB, Obsidian Cpt

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в 10$ Roblox Giftcard, чтобы вернуть файлы. Оригинальное название: Obsidian ORB Ransomware и LETHAL LOCK. На файле написано: surprise.exe. В разных вариантах могут использоваться разные шифровальщики (см. "Обновления" внизу статьи). 
---
Обнаружения:
DrWeb -> Trojan.Encoder.35905
BitDefender -> Trojan.GenericKD.72447540
ESET-NOD32 -> A Variant Of MSIL/Filecoder.Chaos.C
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> MachineLearning/Anomalous.94%
Microsoft -> Ransom:MSIL/FileCoder.YG!MTB
Rising -> Ransom.Destructor!1.B060 (CLASSIC)
Tencent -> Trojan-Ransom.Win32.Agent.16000623
TrendMicro -> Ransom_FileCoder.R002C0DDF24
---

© Генеалогия: Chaos >> BlackSnake > Obsidian ORB, LethalLock > Obsidian Cpt

Сайт "ID Ransomware" это пока не идентифицирует. Идентификация разных вариантов может отличаться от первоначального. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине апреля 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляются расширения:

.LethalLock

. LethalLock

Зашифрованный файл выглядит следующим образом:

Записка с требованием выкупа называется: read_it.txt

Содержание записки о выкупе (read_it.txt):

YOUR PC HAS JUST BEEN INFECTED WITH OBSIDIAN ORB RANSOMWARE!

-----------------------------------------------------------------------------------

THIS MEANS, ALL OF YOUR FILES HAVE BEEN ENCRYPTED AND CAN ONLY BE DECRYPTED USING OUR PERSONAL SOFTWARE! THE PRICE FOR THIS SOFTWARE IS TO YOUR CHOOSING OUT OF THESE:

10$ ROBLOX GIFTCARD (https://www.amazon.com/Robux-Roblox-0nline-Game-Code/dp/B07RZ74VLR?ref_-ast_sto_dp&th-1*psc-1)

10$ PAYSAFE GIFTCARD (COULDNT FIND A LINK TO BUY ONE, BUY IRL THEN)

1x PAYDAY 2 STEAM KEY (https://www.kinguin.net/en/category/2257/payday-2-steam-cd-key)

10$ STEAM GIFTCARD (https://www.kinguin.net/category/27303/steam-wallet-card-a-10-global-activation-code)

10$ PRE PAID DEBIT CARD (VISA OR MASTERCARD ARE PREFERD)

SEND EITHER ONE TO *******************@proton.me within 42h or your pc will be locked completly! YOUR KERNEL IS INFECTED! IF YOU RESET, YOUR PC WILL NOT WORK ANYMORE AND ALL OF YOUR INFO WILL BE SPREAD ON THE INTERNET!

Еще одна записка с предложением решения называется: SOLUTION_NOTE.txt

Содержание этой записки:

Oh, what an exquisite predicament has befallen you!

We take immense pleasure in informing you, without the slightest pang of regret that your server security has been breached & immortalized by LETHAL LOCK, a majestic entity in the realm of cyber command.

Marvel at the masterpiece of encryption we have orchestrated, utilizing algorithms of such complexity and military-grade standards that they render your critical documents as elusive as a mirage in the desert.

Your files now dance to the tune of an encryption algorithm so intricate, so enigmatic, that mortals tremble at its sight.

Should you dare to defy our demands, be prepared for the consequences — your data will remain locked away forever and we will sell them to a third party on the Dark Web or use them as a trade by barter on the Dark-Web to get higher upgraded tools to dismantle your organization within a twinkle of an eye.

Any futile attempts to decipher this cryptographic masterpiece, appeal to law enforcement, or seek assistance from less reputable cybersecurity entities will only hasten the irreversible disappearance of your confidential datas and the swift deletion of the decryption key.

Your enduring rule, should you choose to accept it, is to comply with our ransom payment demands within 72 hours (3days). Failure to meet this demand will result in the permanent loss of your decryption key, accompanied by a symphony of data obfuscation maneuvers that thwart even the most valiant attempts at file recovery.

To embark on this momentous path of payment and data liberation:

1) Reach out to our esteemed customer support service on Telegram: @lethallock (For those evading payment, we suggest enjoying a hot cup of coffee while witnessing the swift datas/files wipe out orchestrated by the Lethal Lock algorithms).

2) Acquire and transfer 25 bitcoins with express efficiency. Remember, our treasuries crave bitcoins, and in return, we will provide you with the coveted decryption key that unlocks the chest of digital wealth.

Follow these crucial instructions:

1) Keep your computer powered on and connected to the digital world.

2) Resist all temptations to use data recovery tools without our permission.

3) Execute the bitcoin transfer with surgical precision before the time extinguish your chance for redemption.

In your cryptographic triumph,

Van Dmitry Vladimir

Senior Director of Operations

Lethal Lock Tech Company - LLTC

Заменяет обои рабочего стола на собственное изображение:

На сайте исследователей из Cyble показано другое изображение. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки. Отключает диспетчер задач через изменение реестра.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

При шифровании пропускает следующие файлы:

boot.ini

bootfont.bin

ntuser.dat

ntuser.dat.log

ntuser.ini

autorun.inf

bootsect.bak

desktop.ini

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
SpartanTitle Visual.exe, surprise.exe, svchost.exe - названия вредоносных файлов. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: ***@proton.me 
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 5668c99abad5da137b901ea5e024638f 

SHA-1: 4718b08ab5f28437c972f030d23bd2a6535224a7 

SHA-256: 378048eb77eec0197bedba1659883e06d43fb6b0c8bf312f9a7ef90d115022b7 

Vhash: 28503615551f00b1911z37 

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 18 июня 2024:

Самоназвание: LockBIT и Obsidian Ransomware

Шифрование: AES ECB, потому сравнение оригинальных файлов с зашифрованными не поможет. 

Расширение: .ObsidianCpt

Записка: Readme.txt

Email: obsidiancpt@zohomail.eu

Telegram: @ObsidianCpt

Файл проекта: C:\zxc\LockBIT\LockBIT\LockBIT\obj\Debug\ObsidianCpt.pdb

Файл: ObsidianCpt.exe

IOC: VT, IA

➤ Обнаружения: 

DrWeb -> Trojan.EncoderNET.112

ESET-NOD32 -> A Variant Of MSIL/Filecoder.BBZ

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Malwarebytes -> Binder.Trojan.Dropper.DDS

Microsoft -> Trojan:Win32/Wacatac.B!ml

Rising -> Ransom.Generic!8.E315 (CLOUD)

TrendMicro -> Ransom.MSIL.OBSIDANCPT.THGOEBD

Ключи реестра: 

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ObsidianCpt

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Wing, ImmaLocker

Wing Ransomware

Variants: ImmaLocker, Sanalock, Poraton

(шифровальщик-вымогатель, RaaS) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA+ChaCha20, а затем требует связаться с вымогателями, чтобы узнать, как заплатить выкуп в биткоинах и вернуть файлы. Оригинальное название: в записке не указано, но известно начальное название: Wing Ransomware. На исполняемом файле написано: taskhostw.exe или что-то еще. Распространитель: blackhunt. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.38568
BitDefender -> Trojan.GenericKD.71473164

Emsisoft -> Trojan.GenericKD.71473164 (B)

ESET-NOD32 -> A Variant Of MSIL/Filecoder.BBZ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Binder.Trojan.Dropper.DDS
Microsoft -> Trojan:MSIL/FileCoder.ARA!MTB
Rising -> Ransom.Gen!8.DE83 (CLOUD)
Tencent -> Malware.Win32.Gencirc.10bf949d
TrendMicro -> Ransom.MSIL.WING.THACOBD
---

© Генеалогия: BlackHeart >> BlackHeart NextGen > BlackLegion и другие > Wing >> ImmaLocker, Sanalock, Poraton и другие

Сайт "ID Ransomware" это пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя началась с конца января 2024 г. Первоначальный файл был скомпилирован 21 января 2024. В марте было найдено еще несколько вариантов с разными элементами вымогательства. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди первых пострадавших — пользователи из России. 

К зашифрованным файлам добавляется одно из следующих расширений: 

.wing

.ImmaLocker

.Sanalock

.Poraton

Фактически используется составное расширение по шаблону: .<email_ransom>.<ID{12}>.<extension>

При этом контакты в Telegram, email и новое расширение меняются по желанию нового вымогателя, купившего исходный файл Wing Ransomware. 

Примеры зашифрованных файлов: 

document.txt.Wingransomware@test.com.ATQRF8PRLFRO.wing

document.txt.ImmaLocker@cyberfear.com.AQFI5SCXC1KA.ImmaLocker

document.txt.Sanalock@cyberfear.com.MSCJZBDVWQVM.Sanaloc

document.txt.Poraton_Support@Cyberfear.com.K8YJPZZBOGRG.Poraton

Записка с требованием выкупа называется: Readme.txt

Содержание записки о выкупе:

Your system has been encrypted by our team, and your files have been locked using our proprietary algorithm !

* Please read this message carefully and patiently *

* If you use any tools, programs, or methods to recover your files and they get damaged, we will not be responsible for any harm to your files !

* Note that your files have not been harmed in any way they have only been encrypted by our algorithm. Your files and your entire system will return to normal mode through the program we provide to you. No one but us will be able to decrypt your files !

* To gain trust in us, you can send us a maximum of 2 non-important files, and we will decrypt them for you free of charge. Please note that your files should not contain important information. Your files should be in a format that we can read, such as .txt, .pdf, .xlsx, .jpg, or any other readable format for us.

Please put your Unique ID as the title of the email or as the starting title of the conversation.

* For faster decryption, first message us on Telegram. If there is no response within 24 hours, please email us *

Telegram Id : wing_ransomware_test

Mail 1 : wingransomware@test.com

Mail 2 : wingransomware2@test.com

You will receive btc address for payment in the reply letter

--------------------------------

! Important !

Please dо nоt wаstе thе timе аnd dо nоt trу to dесеive us , it will rеsult оnly priсе incrеаsе!

Plеаsе nоte that we are professionals and just doing our job !

Wе аrе alwауs оpеnеd fоr diаlоg аnd rеаdy tо hеlp уоu !

UniqueID: XXXXXXXXXXXX

PersonalID: ***

Перевод записки на русский язык:

Ваша система зашифрована нашей командой, а ваши файлы блокированы с использованием нашего запатентованного алгоритма!

* Пожалуйста, внимательно и терпеливо прочтите это сообщение *

* Если вы используете какие-либо инструменты, программы или методы для восстановления ваших файлов и они повредятся, мы не несем ответственности за любой вред вашим файлам!

* Обратите внимание, что ваши файлы никоим образом не пострадали, они только были зашифрованы нашим алгоритмом. Ваши файлы и вся ваша система вернутся в нормальный режим с помощью программы, которую мы вам предоставляем. Никто, кроме нас, не сможет расшифровать ваши файлы!

* Чтобы завоевать доверие к нам, вы можете отправить нам максимум 2 не важных файла, и мы бесплатно их расшифруем. Обратите внимание, что ваши файлы не должны содержать важной информации. Ваши файлы должны быть в формате, который мы можем прочитать, например .txt, .pdf, .xlsx, .jpg или любом другом читаемом для нас формате.

Пожалуйста, укажите ваш Unique ID в качестве заголовка email или в качестве начального заголовка беседы.

* Для более быстрой расшифровки сначала напишите нам в Telegram. Если в течение 24 часов нет ответа, напишите нам *

Telegram Id : wing_ransomware_test

Mail 1 : wingransomware@test.com

Mail 2 : wingransomware2@test.com

В ответном письме вы получите btc-адрес для оплаты.

--------------------------------

! Важно !

Пожалуйста, не теряйте времени и не пытайтесь нас обмануть, это приведет только к повышению цены!

Обращаем ваше внимание, что мы профессионалы и просто делаем свою работу!

Мы всегда открыты для диалога и готовы Вам помочь!

Исходя из контактов, можно заключить, что этот файл не предназначался для вымогательства, а был тестовым образцом. Следующие образцы добавлены ниже основной статьи. В каждом из них, в тексте вымогателей есть заголовок, в котором указано своё название. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Начальное распространение на форумах Даркнета, в частности на форуме DailyDarkWeb. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускаемые файлы:

.exe, .msi, .dll

Файлы, связанные с этим Ransomware:
Readme.txt - название файла с требованием выкупа;
taskhostw.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\LockBIT\

C:\LockBIT\systemID

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\taskhostw

См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Telegram (фиктивный контакт): wing_ransomware_test

Email (фиктивные контакты): wingransomware@test.com, wingransomware2@test.com

BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 863d4e0cab90ec8f20290da01e12cfee 

SHA-1: 6faf5098fdbc081bc0e479c33d13e3391b3c7ead 

SHA-256: 34c899b4970c2fc2cab0ddc1d4d6b4ac8181b0cdf71cd3832e1b817b8e1930d4 

Vhash: 215036151511e09811f0027 

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: средняя.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

BlackRouter Ransomware - апрель 2018

BlackHeart Ransomware - апрель 2018

другие варианты - 2018-2023

BlackLegion Ransomware - ноябрь 2023

Wing Ransomware - январь 2024

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 4-5 марта 2024 или раньше: 

Собственное название: ImmaLocker Ransomware

Сообщение на форуме >>

Расширение: .ImmaLocker

Пример зашифрованного файла: document.txt.ImmaLocker@cyberfear.com.AQFI5SCXC1KA.ImmaLocker

Записка: Readme.txt

Telegram: @Immalocker

Email: ImmaLocker@cyberfear.com

Файл: ImmaLocker@cyberfear.com.exe

➤ Содержание записки: 

Immalocker

Your data are stolen and encrypted

What guarantees that we will not deceive you? 

  We are not a politically motivated group and we do not need anything other than your money. 

  If you pay, we will provide you the programs for decryption and we will delete your data. 

If we do not give you decrypters, or we do not delete your data after payment, then nobody will pay us in the future. 

Therefore to us our reputation is very important.

To confirm our honest intentions.Send 2 different unimportant random files and you will get it decrypted.

Size : 200 KB to 2 MB

Warning! Do not DELETE or MODIFY any files, it can lead to recovery problems!

To contact us, first please message us on Telegram. If you do not receive a response within 24 hours, then email us.

Contact information :

Telegram : @Immalocker

Mail : ImmaLocker@cyberfear.com

Attention !

All files on each host in the network have been encrypted with a strong algorithm.

be careful : Backups were either encrypted

Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover.

--------------------------------------------------------------------------------------------

And finally

We exclusively have decryption software for your situation. 

More than a year ago, world experts recognized the impossibility of deciphering by any means except the original decoder. 

No decryption software is available in the public.

Antiviruse companies, researchers, IT specialists, and no other persons cant help you decrypt the data.

In the end, you refer to us

But if you want to research and decode without us, you are wasting your time

So good luck

UniqueID: XXXXXXXXXXXX

PersonalID: aqq/etAWbRlvizZ0Sh/uWZ73BQ7hSN***

Вариант от 13 марта 2024 или раньше: 

Собственное название: Sanaloc Ransomware

Сообщение на форуме >>

Расширение: .Sanaloc

Пример зашифрованного файла: document.txt.Sanalock@cyberfear.com.MSCJZBDVWQVM.Sanaloc

Записка: Readme.txt

Telegram: @Sanalock

Email: Sanalock@cyberfear.com

Файл: Sanalock@cyberfear.com.exe 

Вариант от 16 марта 2024 или раньше:

Собственное название: Poraton Ransomware

Сообщение на форуме >>

Расширение: .Poraton

Пример зашифрованного файла: document.txt.Poraton_Support@Cyberfear.com.K8YJPZZBOGRG.Poraton

Записка: Readme.txt

Telegram: @Poraton

Email: Poraton_Support@Cyberfear.com

Файл: Poraton_Support@Cyberfear.com.exe

IOC: VT, IA, TG

MD5: 9eda69bc6d42ff0a9a56d74fb06a6c01 

SHA-1: 6a384ff0d66089bfb89dbcad8f0a90482160c6a1 

SHA-256: 34b9f323d2c6d4fc334952c365b678662dbd00cdd03babbcbe258a0ec053ffa3 

Vhash: 215036151511e09811f0027 

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

➤ Обнаружения:

DrWeb -> Trojan.Encoder.38568

Emsisoft -> Gen:Variant.Ransom.BlackHeart.4 (B)

ESET-NOD32 -> A Variant Of MSIL/Filecoder.BBZ

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Malwarebytes -> Binder.Trojan.Dropper.DDS

Microsoft -> Trojan:MSIL/FileCoder.ARA!MTB

Rising -> Ransom.Gen!8.DE83 (CLOUD)

Tencent -> Win32.Trojan-Ransom.Generic.Cdhl

TrendMicro -> Ransom_Gen.R002C0DCG24

Обзор строк кода: 

 

  

Сравнение образцов BlackLegion (ноябрь 2023) и Poraton (март 2024):

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Sandor, PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.