Cerber 2021

Cerber 2021 Ransomware

CerberImposter 2021 Ransomware

CerberCrypt Ransomware

CerberLocker Ransomware

(шифровальщик-вымогатель) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в 0.02 BTC, чтобы вернуть файлы. Оригинальное название: Cerber. Была использована  библиотека Crypto++. Распространяются версии для Windows и Linux. 
---
Обнаружения варианта для Windows:
DrWeb -> Trojan.Encoder.34693
BitDefender -> Trojan.GenericKD.38195704
ESET-NOD32 -> Win32/Filecoder.Cerber.Z
Kaspersky -> HEUR:Trojan-Ransom.Win32.Crypren.gen
Malwarebytes -> Malware.AI.4223874389
Microsoft -> Ransom:Win32/Aicat.A!ml
Rising -> Ransom.Ferber!8.1304D (CLOUD)
Symantec -> Trojan.Gen.2
Tencent -> Win32.Trojan.Filecoder.Lqez
TrendMicro -> Ransom.Win32.LOCKERGOGA.SM1
---

Обнаружения варианта для Linux:
DrWeb -> Linux.Encoder.113 / Linux.Encoder.114
BitDefender -> Trojan.Linux.Generic.224386 / Trojan.Linux.Generic.224036
ESET-NOD32 -> A Variant Of Linux/Filecoder.Cerber.A, A Variant Of Linux/Filecoder.Cerber.B
Kaspersky -> HEUR:Trojan-Ransom.Linux.Agent.k, HEUR:Trojan-Ransom.Linux.Ferber.a
Malwarebytes -> ***
Microsoft -> Ransom:Linux/Cerbercrypt.B!MTB
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Symantec -> Trojan.Gen.NPE / Downloader.Trojan
Tencent -> Win32.Trojan.Rans.Hrkc / Linux.Trojan.Linux.Airo
TrendMicro -> Trojan.Linux.SABSIK.USELVL721 / Backdoor.Linux.ZYX.USELVKU21

---

© Генеалогия: ✂ Cerber, ✂ Panther, ✂ WoodRat >> Cerber 2021

Сайт "ID Ransomware" идентифицирует это как Cerber 2021 или  CerberImposter. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в середине и конце ноября и продолжилась в начале декабря 2021 г. Ориентирован не только на англоязычных пользователей, но и на пользователей еще 10 языков, в их числе арабский, китайский, голландский, французский, немецкий, итальянский, японский, португальский, испанский, турецкий. Может распространяться по всему миру. По данным Tencent, атаки Cerber 2021 в основном нацелены на Китай (21,46%), США (21,36%), Германию (18,4%), Россию (3,54%), Францию (3,3%), Южную Корею (3,24%). Другие страны являются целями в меньшей степени. См. карту. 

К зашифрованным файлам добавляется расширение: .locked

Записка с требованием выкупа называется: __$$RECOVERY_README$$__.html

Так выглядит начальная страница этого файла. 

Таким образом, можно видеть, что в этом файле есть текст на 11 языках, который переключается ссылками: 

English

Arabic

Chinese

Dutch

French

German

Italian

Japanese

Portuguese

Spanish

Turkish

Так выглядит страница с английским текстом: 

Содержание записки о выкупе:

CERBER RANSOMWARE

Instructions

Can't you find the necessary files?

Is the content of your files not readable?

It is normal because the files' names and the data in your files have been encrypted by "Cerber Ransomware".

It means your files are NOT damaged! Your files are modified only. This modification is reversible.

From now it is not possible to use your files until they will be decrypted.

The only way to decrypt your files safely is to buy the special decryption software "Cerber Decryptor".

Any attempts to restore your files with the third-party software will be fatal for your files!

You can proceed with purchasing of the decryption software at your personal page:

http://pigetrzlperjreyr3fbytm27bljaq4eungv3gdq2tohnoyfrqu4bx5qd.onion/bt0***

At this page you will receive the complete instructions how to buy the decryption software for restoring all your files.

Also at this page you will be able to restore any one file for free to be sure "Cerber Decryptor" will help you.

If your personal page is not available for a long period there is another way to open your personal page - installation and use of Tor Browser:

run your Internet browser (if you do not know what it is run the Internet Explorer);

enter or copy the address https://www.torproject.org/download/download-easy.html.en into the address bar of your browser and press ENTER;

wait for the site loading;

on the site you will be offered to download Tor Browser; download and run it, follow the installation instructions, wait until the installation is completed;

run Tor Browser;

connect with the button "Connect" (if you use the English version);

a normal Internet browser window will be opened after the initialization;

type or copy the address

http://pigetrzlperjreyr3fbytm27bljaq4eungv3gdq2tohnoyfrqu4bx5qd.onion/bt0***

in this browser address bar;

press ENTER;

the site should be loaded; if for some reason the site is not loading wait for a moment and try again.

If you have any problems during installation or use of Tor Browser, please, visit https://www.youtube.com and type request in the search bar "Install Tor Browser Windows" and you will find a lot of training videos about Tor Browser installation and use.

Additional information:

You will find the instructions ("*README*.hta") for restoring your files in any folder with your encrypted files.

The instructions ("*README*.hta") in the folders with your encrypted files are not viruses! The instructions ("*README*.hta") will help you to decrypt your files.

Remember! The worst situation already happened and now the future of your files depends on your determination and speed of your actions.

Перевод записки на русский язык:

CERBER RANSOMWARE

инструкции

Не можете найти нужные файлы?

Содержимое ваших файлов не читается?

Это нормально, потому что имена файлов и данные в ваших файлах зашифрованы с помощью Cerber Ransomware.

Это значит, что ваши файлы НЕ повреждены! Изменяются только ваши файлы. Эта модификация обратима.

С этого момента ваши файлы нельзя будет использовать до тех пор, пока они не будут расшифрованы.

Единственный способ безопасно расшифровать ваши файлы - это купить специальную программу для расшифровки Cerber Decryptor.

Любые попытки восстановить ваши файлы с помощью сторонних программ будут фатальными для ваших файлов!

Приобрести программу для дешифрования вы можете на своей личной странице:

http://pigetrzlperjreyr3fbytm27bljaq4eungv3gdq2tohnoyfrqu4bx5qd.onion/bt0***

На этой странице вы получите полные инструкции, как купить программу дешифрования для восстановления всех ваших файлов.

Также на этой странице вы сможете бесплатно восстановить любой файл, чтобы быть уверенным, что Cerber Decryptor вам поможет.

Если ваша личная страница долгое время недоступна, есть другой способ открыть личную страницу - установка и использование Tor Browser:

запустите свой интернет-браузер (если вы не знаете, что это за запуск Internet Explorer);

введите или скопируйте адрес https://www.torproject.org/download/download-easy.html.en в адресную строку браузера и нажмите ENTER;

дождитесь загрузки сайта;

на сайте вам будет предложено скачать Tor Browser; скачайте и запустите, следуйте инструкциям по установке, дождитесь завершения установки;

запустить Tor Browser;

подключиться кнопкой "Connect" (если вы используете англоязычную версию);

после инициализации откроется обычное окно интернет-браузера;

введите или скопируйте адрес

http://pigetrzlperjreyr3fbytm27bljaq4eungv3gdq2tohnoyfrqu4bx5qd.onion/bt0***

в адресной строке браузера;

нажмите ENTER;

сайт должен загрузиться; если по какой-то причине сайт не загружается, подождите немного и попробуйте еще раз.

Если у вас возникли проблемы во время установки или использования Tor Browser, посетите https://www.youtube.com и введите запрос в строке поиска "Install Tor Browser Windows", и вы найдете множество обучающих видео о Tor Browser, установка и использование.

Дополнительная информация:

Вы найдете инструкции ("*README*.hta") по восстановлению ваших файлов в любой папке с вашими зашифрованными файлами.

Инструкции ("*README*.hta") в папках с вашими зашифрованными файлами не являются вирусами! Инструкции ("*README*.hta") помогут вам расшифровать ваши файлы.

Помните! Худшая ситуация уже случилась, и теперь будущее ваших файлов зависит от вашей решимости и скорости ваших действий.

Тексты на других языках пропускаем из-за экономии размера статьи. 

Скриншоты с сайта вымогателей:

Содержание страницы сайта:

CERBER DECRYPTOR

Your documents, photos, databases and other important files have been encrypted!

To decrypt your files you need to buy the special software – «Cerber Decryptor».

All transactions should be performed via  Bitcoin  network only.

Within 5 days you can purchase this product at a special price:  0.020000 (≈ $987).

After 5 days the price of this product will increase up to:  0.040000 (≈ $1974).

---

The special price is available:

04 . 23:59:40

---

How to get «Cerber Decryptor»?

1.   Create a Bitcoin Wallet (we recommend Blockchain.com)

2.   Buy necessary amount of Bitcoins

Do not forget about the transaction commission in the Bitcoin network (≈ 0.0005).

Here are our recommendations:

binance.com – Binance is the worlds biggest Bitcoin exchange and altcoin crypto exchange in the world by volume.

coinbase.com – With Coinbase you can send Bitcoin to anyone in the world.

localbitcoins.com – This service allows you to search for people that want to sell Bitcoins directly (WU, Cash, SEPA, Paypal, etc).

ftx.com – Buy Bitcoins using USD, EUR, GBP, AUD; 11 fiat currencies in total.

kucoin.com – The KuCoin platform was designed for investors of all types, with 24/7 world-class services in your preferred channel and language.

huobi.com – Buy cryptocurrency with your credit card.

changenow.io – Buy BTC with USD and EUR in a few simple steps.

changelly.com – You can buy Bitcoin and other cryptocurrencies with a credit card or any crypto wallet.

Could not find Bitcoins in your region? Try searching here:

buybitcoinworldwide.com International catalog of Bitcoins exchanges

bitcoin-net.com – Another Bitcoins sellers catalog

howtobuybitcoins.info – International catalog of Bitcoins exchanges

bittybot.co/eu – A catalog for the European Union

3.   Send  0.020000  to the following Bitcoin address:

16z9u4rNASfQCmnhoKY7y3egh7J5SK2ceU

4.   Control the amount transaction at the «Payments History» panel below

5.    Reload current page after the payment (6 confirmations) and get a link to download the software

Скриншоты других страниц сайта вымогателей:

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 
---

➤ Cerber 2021 взламывает серверы с использованием уязвимостей удаленного выполнения кода в Atlassian Confluence и GitLab, в том числе недавно обнаруженную уязвимость в компоненте ExifTool GitLab. Эти уязвимости отслеживаются как CVE-2021-26084 (Confluence) и CVE-2021-22205 (GitLab) и могут использоваться удаленно без аутентификации. Кроме того, обе уязвимости публично раскрывают экспериментальные эксплойты (PoC), позволяющие злоумышленникам легко взламывать серверы. В настоящее время лучшим подходом к защите от Cerber было бы применение доступных обновлений безопасности для Atlassian Confluence и GitLab. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
__$$RECOVERY_README$$__.html - название файла с требованием выкупа;

README.hta - указанный в тексте файл с инструкциями; 

Cerber Decryptor - оригинальный дешифровщик файлов; 

1.bat - командный файл; 

Rx2o7d.txt - файл, указанный в анализе; 

rX2o7d.tmp - файл, указанный в анализе; 

tmp.conf.2w (tmp.conf.exe) - название вредоносного файла; 

tmp.conf.2p - название вредоносного файла; 

elf-файлы версии для Linux. 

 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Windows\Temp\rX2o7d.tmp

/dev/random

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://pigetrzlperjreyr3fbytm27bljaq4eungv3gdq2tohnoyfrqu4bx5qd.onion/bt10***

Email: - 
BTC: 16z9u4rNASfQCmnhoKY7y3egh7J5SK2ceU

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: ae99e6a451bc53830be799379f5c1104

SHA-1: f79ea5b6b14cbbd947585c78c2446becaef803b7

SHA-256: 772cad26853c7d8ea8f1023f6e3cba219cc9bb1db1cd31ad2b979e59d3d9c631

Vhash: 075056655d55551038z61hz1lz

Imphash: d0e6d8cc31f0d3346e66a38b8a035489

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: e278d253cae5bc102190e33f99596966

SHA-1: 080c62f371a28486e9945ac7ad57c45d8ab6dd00

SHA-256: 2ace8c4c98c050a9cf57e0e275848c6cf7122f19f4136dabb94a130a88d77997

Vhash: 41be31a40c44cf084e4aa8148b288042

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 76ee3782aa050c1b6bf8dd0567f57baa

SHA-1: fde094a95bd613071d43c11f3b3b8222187d0dcb

SHA-256: 011cd27bf11ea2108a0461741c421094b10b2777be585e8208d73d3044a11fc3

Vhash: 110eb04b032b74db039acfe96b62b4b2

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

Некоторые другие образцы можно найти на сайте BA:

https://bazaar.abuse.ch/browse/tag/Cerber2021/

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up,  Write-up, Topic of Support
 *** 

 Thanks: 
 MalwareHunterTeam, BleepingComputer
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

HelloXD

HelloXD Ransomware

VhlamAV-MicloZ0ft Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: HelloXD. На файле написано: xd.exe и VhlamAV MicloZ0ft.
---
Обнаружения:
DrWeb -> Trojan.MulDrop19.9362
BitDefender -> Trojan.GenericKD.38159388, Trojan.HelloXD.A
ESET-NOD32 -> A Variant Of Win64/Filecoder.Hello.A
Malwarebytes -> Ransom.HelloXD
Microsoft -> Ransom:Win32/HelloCrypt.MK!MTB
Symantec -> Downloader, Ransom.Helloxd
TrendMicro -> TROJ_GEN.R002H0CL221, Ransom.Win64.HELLOCRYPT.THLAOBA
---

© Генеалогия: ??? >> HelloXD (VhlamAV MicloZ0ft)

Сайт "ID Ransomware" идентифицирует это как HelloXD. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце ноября - начале декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .hello

Записка с требованием выкупа называется: Hello.txt

 

Содержание записки о выкупе: 

  Not so long ago, we discovered a serious problem with your

  network and decided to help you. So what happened?

  All files are encrypted with Integrated Encryption Scheme.

  The file structure was not damaged. You have been assigned

  a unique identifier. After infection, you have 96 hours to

  declare decryption. After the expiration of 96 hours,

  decryption cost will be automatically increased.

   █░█ █▀▀ █░░ █░░ █▀█   ▀▄▀ █▀▄  Now you should send us

   █▀█ ██▄ █▄▄ █▄▄ █▄█   █░█ █▄▀  message with your personal 

           identifier, which is at the bottom of the message.

  We hope that you understand the importance of the work we

  have done, if the vulnerability were found by someone else,

  it is possible that the consequences of the attack could be

  much more sensitive than the usual payment of money due to

  us for work.

  Free decryption as guarantee! Before paying you can send us

  2 files for free decryption. The total size of files must be

  less than 1Mb (non archived), and files should not contain

  valuable information (databases, backups, large excel sheets,

  etc.).

   ▄▀█ ▀█▀ ▀█▀ █▀▀ █▄░█ ▀█▀ █ █▀█ █▄░█ █  DO!! NOT!! TRY!!!

   █▀█ ░█░ ░█░ ██▄ █░▀█ ░█░ █ █▄█ █░▀█ ▄     TO!! CHANGE!! 

  or apply any other influence encrypted files by yourself!!!

  If you willtry to use any third party software for restoring

  your data or antivirus solutions - this can lead to complete

  damage to all files and their irrecoverable loss, since it

  will no longer be possible to restore them Any changes in

  encrypted files may entail damage of the private  key and,

  as result, the loss all data.

  ...!XD ::

  your personal id: 9889E042B07F83DA :: our TOX below >:)

  A746E398A5BC9AD9F281F5***

  You can download TOX here: https://tox.chat/download.html

Перевод записки на русский язык:

Не так давно мы обнаружили серьезную проблему с вашей сетью и решили вам помочь. Так что случилось?

Все файлы зашифрованы интегрированной схемой шифрования.

Файловая структура не повреждена. Вам назначили уникальный идентификатор. После заражения у вас есть 96 часов, чтобы объявить расшифровку. По истечении 96 часов стоимость расшифровки будет автоматически увеличена.

Теперь вы должны отправить нам сообщение со своим личным идентификатором, который находится внизу сообщения.

Надеемся, что вы понимаете важность работы, которую мы сделали, если бы уязвимость обнаружил кто-то другой, не исключено, что последствия атаки могли быть намного более чувствительней, чем обычная выплата денег нам за работу.

 Бесплатная расшифровка как гарантия! Перед оплатой вы можете отправить нам 2 файла для бесплатной расшифровки. Общий размер файлов должен быть менее 1 МБ (не в архиве), и файлы не должны содержать ценной информации (базы данных, резервные копии, большие таблицы Excel,

 т. д.).

НЕ ПЫТАЙТЕСЬ ЧТО-ТО МЕНЯТЬ !!

или сами применять любое другое воздействие на зашифрованные файлы!!! Если вы попытаетесь использовать сторонние программы для восстановления

 ваших данных или антивирусные решения - это может привести к полному повреждение всех файлов и их безвозвратной потере, так как их нельзя будет восстановить. Любые изменения в зашифрованных файлах могут повлечь за собой повреждение закрытого ключа и, как следствие, потерю всех данных.

 ...! XD ::

ваш личный id: 9889E042B07F83DA :: наш ТОКС ниже > :)

A746E398A5BC9AD9F281F5 ***

Вы можете скачать TOX здесь: https://tox.chat/download.html

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


HelloXD удаляет теневые копии файлов, чтобы затруднить восстановление. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Hello.txt - название файла с требованием выкупа;
xd.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: a034f79273e3f61d34eeadf38f12dee2

SHA-1: 9c8feeab65f71344713d63f4879e247aba49dce4

SHA-256: 903c04976fa6e6721c596354f383a4d4272c6730b29eee00b0ec599265963e74

Vhash: 04403e0f7d1019z40101dz1lz

Authentihash: 155414265e2804f4166525a2c77f98f2964320e6a645f8e17d084edbbb9ed023

Imphash: 483d227527ae5508d659e479e2b8023d

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

BlackCat, ALPHV

BlackCat Ransomware

ALPHV Ransomware

BlackCat Hand-Ransomware

Aliases: ALPHV-ng, Noberus

(шифровальщик-вымогатель, RaaS) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей и корпоративных сетей с помощью комбинации алгоритмов AES-128 (режим CTR) и RSA-2048, а затем требует крупный выкуп в BTC или Monero, чтобы вернуть файлы. Вместо AES может использовать алгоритм ChaCha20. Глобальный открытый ключ, используемый для шифрования локальных ключей, извлекается из файла конфигурации. Оригинальное название: ALPHV-ng RaaS. Используется язык программирования Rust. Может шифровать данные в системах Windows, Linux и VMWare eSXI. 

---
Обнаружения:
DrWeb -> Trojan.Ransom.814
ALYac -> Trojan.Ransom.BlackCat

BitDefender -> Trojan.GenericKD.38153014
ESET-NOD32 -> Win32/Filecoder.OJP
Kaspersky -> UDS:Trojan.Win32.Agentb.a, HEUR:Trojan-Ransom.Win32.BlackCat.gen

Lionic -> Trojan.Win32.BlackCat.j!c
Malwarebytes -> Malware.AI.2115381737, Ransom.FileCryptor
Microsoft -> Trojan:Win32/Woreflint.A!cl
Rising -> Ransom.Blackcat!1.DB0B (CLASSIC)
Symantec -> Ransom.Noberus
Tencent -> Win32.Trojan.Filecoder.Lqor
TrendMicro -> TROJ_GEN.R002H09L321, TROJ_FRS.VSNTLA21, Ransom.Win32.BLACKCAT.YXBLMA
---

© Генеалогия: предыдущие известные > BlackCat тестовый > BlackCat (ALPHV) > более новые

Этимология названия:

В слове ALPHV, без сомнения, скрыто слово ALPHA (альфа). Так вымогатели могли завуалировать первую версию своей вредоносной программы или под ним завуалирован имя (ник) разработчика программы-вымогателя или представителя группы вымогателей. ALPHV-ng - это дальнейшее развитие программы, где ng - Next Generation (англ. следующее поколение). 

Для русскоязычного пользователя слово BlackCat ("Чёрный кот" или "Чёрная кошка") и картинка в объяснении не нуждаются. Посмотрим насколько у них хватит духа или нюха продолжать этим пользоваться. 

Сайт "ID Ransomware" идентифицирует это как BlackCat (ALPHV). 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в середине ноября и во второй половине ноября 2021 г. Тогда использовался более ранний вариант, созданный в начеле ноября 2021. Ориентирован на англоязычных пользователей, может распространяться по всему миру. На сайте утечек названо более 20 организаций из различных секторов и стран, среди них:  Австралия, Франция, Германия, Италия, Нидерланды, Филиппины, Испания, Великобритания, США, Багамские острова. 

К зашифрованным файлам добавляется настраиваемое семизначное буквенно-цифровое расширение файла. Например, в одном из примеров было расширение: .sykffle

Записка с требованием выкупа называется в этом примере: RECOVER-sykffle-FILES.txt

Под XXX должно быть добавляемое расширение. Количество знаков может быть любым. 

Содержание записки о выкупе:

» Introduction

Important files on your system was ENCRYPTED and now they have have "sykffle" extension.

In order to recover your files you need to follow instructions below.

» Sensitive Data

Sensitive data on your system was downloaded and it will be published if you refuse to cooperate.

Data includes:

- Employees personal data, CVs, DL , SSN.

- Complete network map including credentials for local and remote services.

- Financial information including clients data, bills, budgets, annual reports, bank statements.

- Complete datagrams/schemas/drawings for manufacturing in solidworks format

- And more...

Private preview is published here: hxxx://zujgzbu5y64xbmvc42addp4lxkoosb4tslf5mehnh7pvqjpwxn5gokyd.onion/***

» CAUTION

DO NOT MODIFY FILES YOURSELF.

DO NOT USE THIRD PARTY SOFTWARE TO RESTORE YOUR DATA.

YOU MAY DAMAGE YOUR FILES, IT WILL RESULT IN PERMANENT DATA LOSS.

YOUR DATA IS STRONGLY ENCRYPTED, YOU CAN NOT DECRYPT IT WITHOUT CIPHER KEY.

» Recovery procedure

Follow these simple steps to get in touch and recover your data:

1) Download and install Tor Browser from: https://torprojoject.org

2) Navigate to: hxxx://mu75ltv3lxd24dbyu6gtvmnwybecigs5auki7fces437xvvflzva2nqd.onion/?access-key=***

Перевод записки на русский язык:

» Введение

Важные файлы в вашей системе были зашифрованы и теперь имеют расширение "sykffle".

Чтобы восстановить ваши файлы, вам надо следовать инструкциям ниже.

» Конфиденциальные данные

Конфиденциальные данные из вашей системы были скачаны и будут опубликованы, если вы откажетесь от сотрудничества.

Данные включают:

- Персональные данные сотрудников, резюме, DL, SSN.

- Полная карта сети, включая учетные данные для локальных и удаленных служб.

- Финансовая информация, включая данные клиентов, счета, бюджеты, годовые отчеты, банковские выписки.

- Полные датаграммы / схемы / чертежи для производства в формате solidworks

- И больше...

Приватный превью опубликован здесь: http://***.onion/***

" ОСТОРОЖНО

НЕ ИЗМЕНЯЙТЕ ФАЙЛЫ САМОСТОЯТЕЛЬНО.

НЕ ИСПОЛЬЗУЙТЕ ПРОГРАММЫ ТРЕТЬИХ СТОРОН ДЛЯ ВОССТАНОВЛЕНИЯ ДАННЫХ.

ВЫ МОЖЕТЕ ПОВРЕДИТЬ СВОИ ФАЙЛЫ, ЭТО ПРИВЕДЕТ К ПОСТОЯННОЙ УТЕЧКЕ ДАННЫХ.

ВАШИ ДАННЫЕ НАДЕЖНО ЗАШИФРОВАНЫ, ВЫ НЕ МОЖЕТЕ РАСШИФРОВАТЬ ИХ БЕЗ КЛЮЧА ШИФРОВАНИЯ.

» Процедура восстановления

Выполните следующие простые шаги, чтобы связаться и восстановить свои данные:

1) Загрузите и установите Tor Browser с сайта: https://torprojoject.org

2) Перейдите по адресу: http://***.onion/?access-key=***


Неполный скриншот одного из сайтов вымогателей: 

Другим информатором жертвы является изображение RECOVER-sykffle-FILES.txt.png, заменяющее обои Рабочего стола. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Рекламируется с начала декабря 2021 на двух подпольных русскоязычных форумах киберандеграунда (XSS и Exploit). Приглашаются пентестеры, операторы и участники других вымогательситк проектов. Аффилированным партнерам обещается доход в размере от 80% до 90% от полученного выкупа. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 



➤ Во время проведения атаки ALPHV используется PowerShell для изменения параметров безопасности Защитника Windows во всей сети жертвы, а также запускается двоичный файл программы-вымогателя, интерактивный процесс, на нескольких хостах с помощью PsExec. 

➤ Удаляет теневые копии файлов и моментальные снимки ESXi для предотвращения восстановления. 

➤ Использует команду для сбора универсальных уникальных идентификаторов (UUID) с зараженных машин. Затем UUID и параметр "токен доступа" используются для генерации «ACCESS_KEY». Подробнее в статье Symantec >>

➤ Используется CryptGenRandom для генерации ключей шифрования. 

Детали шифрования: 
В автоматическом режиме BlackCat проверяет наличие аппаратной поддержки алгоритма AES (есть во всех современных процессорах) и использует её. Если нет поддержки AES, то BlackCat шифрует файлы с помощью алгоритма ChaCha20.

Список типов файлов, подвергающихся шифрованию:
Почти все типы файлов, кроме тех, что находятся в списках исключений. 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Список пропускаемых расширений: 
.386, .adv, .ani, .bat, .bin, .cab, .cmd, .com, .cpl, .cur, .deskthemepacJc, .diagcab, .diagcfg, .diagpkg, .dll, .drv, .exe, .hip, .hta, .icl, .ico, .ics, .idx, .iens, .key, .ldf, .lnk, .lock, .mod, .mpa, .msc, .msi, .msp, .msstyles, .msu, .nls, .nomedia, .ocx, .pdb, .prf, .psl, .rom, .rtp, .scr, .shs, .spl, .sys, .theme, .themepack, .wpx (50 расширений). 

Список завершаемых процессов и служб: 

agntsvc, backup, dbeng50, dbsnmp, encsvc, excel, firefox, infopath, isqlplussvc, memtas, mepocs, msaccess, msexchange, mspub, mydesktopqos, mydesktopservice, notepad, ocautoupds, ocomm, ocssd, onenote, oracle, outlook, powerpnt, sqbcoreservice, sql*, sql, sql, steam, svc$, synctime, tbirdconfig, thebat, thunderbird, veeam, visio, vss, winword, wordpad, xfssvccon, 

Список пропускаемых директорий: 

All users, Appdata, Application data, Boot, Config.msi, Default, Google, Intel, Mozilla, Msocache, Perflogs, Program files (x86), Program files, ProgramData, Public, Recycle.bin, System volume information, Tor browser, Windows.~ws, Windows, Windows.~bt, Windows.old 

Список пропускаемых файлов:

autorun.inf, boot.ini, bootfont.bin, bootsect.bak, desktop.ini, iconcache.dbn, nthumbs.dbn, ntldr, ntuser.dat, ntuser.dat.log ntuser.ini

Маркер файлов: 

19 47 B7 4D в конце зашифрованного файла и перед зашифрованным ключом, который представляет собой JSON с некоторыми настройками. 

Файлы, связанные с этим Ransomware:
RECOVER-sykffle-FILES.txt - название файла с требованием выкупа;
RECOVER-sykffle-FILES.txt.png - изображение, заменяющее обои Рабочего стола; 

DllHost.exe, keller.exe, 3ddxzjjjn.dll - названия вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\User\AppData\Local\Temp\3d7cf20ca6476e14e0a026f9bdd8ff1f26995cdc5854c3adb41a6135ef11ba83.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов. 

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL (примеры): hxxx://zujgzbu5y64xbmvc42addp4lxkoosb4tslf5mehnh7pvqjpwxn5gokyd.onion/b21***

hxxx://mu75ltv3lxd24dbyu6gtvmnwybecigs5auki7fces437xvvflzva2nqd.onion/***

Для каждой новой атакованной компании создается новый onion-домен. 

Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: aea5d3cced6725f37e2c3797735e6467

SHA-1: 087497940a41d96e4e907b6dc92f75f4a38d861a

SHA-256: 3d7cf20ca6476e14e0a026f9bdd8ff1f26995cdc5854c3adb41a6135ef11ba83

Vhash: 0260876d15755c0d5d1d10c8z73210301hz15zf7z

Imphash: 2c3e267ae163c15bfc251e74ea5319b2

Некоторые другие образцы можно найти на сайте BA:

https://bazaar.abuse.ch/browse/tag/blackcat/

Степень распространённости: высокая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Три года назад и ещё раз не так давно мы уже видели, как кто-то использовал название BlackCat Ransomware. Но тогда это активно не распространялось или проходило тестирование, поэтому не попало в наш Дайджест. На момент написания статьи никто не доказал и не опроверг связь сегодняшего BlackCat Ransomware с предыдущими. 

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 30 декабря 2021: 

Сообщение на форуме >>

Расширение: .jkkcgdp

Записка: RECOVER-jkkcgdp-FILES.txt

=== 2022 ===

Новость от 4 февраля 2022: 

Краткое содержание интервью, данное аналитику Recorded Future Дмитрию Смилянцу представилем группы вымогателей из BlackCat (ALPHV). 

ALPHV: Наше единственное имя - ALPHV. BlackCat был изобретен компанией The Record, а BC.a Noberus — компанией Symantec. 

---

✋ Уточнение: Название BlackCat впервые использовано исследователем MalwareHunterTeam в Твиттере и сразу же опубликовано здесь, в Дайджесте, в этот статье. Все остальные публикации вторичны. 

---

ALPHV: ...Нет никакого ребрендинга или смешения талантов, потому что мы не имеем прямого отношения к партнерским программам GandCrab/REvil, BlackMatter/DarkSide, Maze/Egregor, Lockbit и прочим. Мы позаимствовали их достоинства и устранили их недостатки.

...Мы без преувеличения считаем, что на данный момент на рынке нет конкурентоспособного нам программного обеспечения. Помимо качественного софта, для продвинутых партнеров мы предоставляем полный спектр услуг, связанных с выкупом — метавселенную или премиум-обслуживание. Мы в другой весовой категории, поэтому никого не признаем и не будем делать вымогательские дома TikTok. 

...Мы абсолютно не заинтересованы ни в каком сотрудничестве, расширении или взаимодействии с другими филиалами и работаем только с русскоязычными партнерами. Недавно была первая чистка, скоро будет вторая и мы закроемся. Географически расширяться не планируем, но обязательно добавим китайский язык после арабского... :)

...Язык программирования RUST выбран как современный кроссплатформенный ЯП низкого уровня. В консольной команде имя проекта alphv-N(ext)G(eneration). Мы сделали действительно новый продукт, с новым внешним видом и подходом, отвечающим современным требованиям как к RaaS-решению, так и к высококлассному коммерческому ПО.

...Мы не нападаем на госмедучреждения, машины скорой помощи, больницы. Это правило не распространяется на фармацевтические компании, частные клиники.

...Наша главная цель — создать собственную метавселенную RaaS, включающую в себя весь спектр услуг, связанных с нашим бизнесом.

Новость от 5 февраля 2022:

BleepingComputer сообщает, что некоторые специалисты выявили совпадения в действиях предыдущих вымогателей BlackMatter/DarkSide и BlackCat/ALPHV. 

Ссылка на статью >>

Вариант от 11 марта 2022:

Сообщение >>

Расширение: .yicrlka

Записка: RECOVER-yicrlka-FILES.txt

Bitcoin: 1H3JFbyiwv6YeVW7K2mVjxHgNvJdXqJxiP

Monero: 46JqTG57Pv6GBRzjM9kHyCF8XHrAo9sr8dLuvqwcGbxT92dUAW12QpgZJnu32KrTfL1BzLp2sBi9G49JyXuRaKmT6JrJL9r

Вариант от 15 марта 2022:

Сообщение >>

Файл: alpha.exe

Результаты анализа: VT

Обнаружения: 

DrWeb -> Trojan.Encoder.35107

ESET-NOD32 -> A Variant Of Win32/Filecoder.BlackCat.A

Microsoft -> Ransom:Win32/BlackCat.A

Вариант от 18 марта 2022:

Результаты анализа: VT + IA

Обнаружения: 

DrWeb -> Trojan.Encoder.35107

ESET-NOD32 -> A Variant Of Win32/Filecoder.BlackCat.A

Microsoft -> Ransom:Win32/BlackCat.A

*** пропущенные варианты ***

Вариант от 18 ноября 2022:

Сообщение на форуме >>

Расширение: .vx6zwft

RECOVER-vx6zwft-FILES.txt

Новость от 17 августа 2023: 

BlackCat 2.0: Sphynx

Новая версия BlackCat включает в себя сетевую структуру Impacket и хакерский инструмент RemCom, которые позволяют распространяться по взломанной сети. Статья об этом варианте >>

Новость от 19 октября 2023:

BlackCat использует новый инструмент "Munchkin" для скрытых атак, который представляет собой ISO-файл, содержащий настроенный дистрибутив Alpine OS Linux. После компрометации устройства злоумышленники устанавливают VirtualBox и создают новую виртуальную машину, используя ISO-образ. Этот Munchkin включает в себя набор скриптов и утилит, которые позволяют злоумышленникам сбрасывать пароли, распространять их по сети, создавать полезную нагрузку шифратора BlackCat "Sphynx" и выполнять программы на сетевых компьютерах.

Статья на сайте BC >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Write-up, Topic of Support 
 Added later: Write-up by Symantec

Added later: Write-up, Write-up, Write-up, Write-up, Write-up

 Thanks: 
 MalwareHunterTeam, SAJID HASSAN
 Andrew Ivanov (article author)
 to authors of the newer researches
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.