XYZconfig

XYZconfig Ransomware

JuanJoRodriguez Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в 100-150 XMR, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: config.exe. Написан на языке Go. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.34855
BitDefender -> Gen:Variant.Razy.921131
ESET-NOD32 -> A Variant Of WinGo/Filecoder.AY
Kaspersky -> Trojan-Ransom.Win32.Encoder.owc
Malwarebytes -> Ransom.FileCryptor.GO
Microsoft -> Trojan:Win32/Mamson.A!ac
Rising -> Ransom.Encoder!8.FFD4 (CLOUD)
Symantec -> Downloader
Tencent -> Win32.Trojan.Encoder.Taev
TrendMicro -> TROJ_FRS.0NA103A222
---

© Генеалогия: ✂ Hive, Decaf + Malicious Library >> XYZconfig

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале января 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .xyz

Записка с требованием выкупа называется: _Readme_.txt

Содержание записки о выкупе:

NOT YOUR LANGUAGE? USE https://translate.google.com

What happened to your files ?

All of your files are now protected by a strong encryption method.

If you have valuable data don't waste your time, because there is NO other way to get your files back, except through my decryption tool that you can buy following the below steps.

FOLLOW THESE STEPS:

1)Send 100 XMR (Monero) to 4ASaDVQiHE59wGWvvamXPaekxsw4p2K5n3YrmXzwfVaL2QiPTG78iVsDkhxdc8fPPzaQxBCUJ6u5Rbum16LBstY4SAQQ8Mj (you can buy following the official guide https://www.getmonero.org/community/merchants/)

2)Send your Transaction Key to prove the payment via mail to juanjoorodriguez@protonmail.com and juanjo.rodriguez@tutanota.com

3)You will receive the instructions to your mail on how to decrypt your files within 24 hours (If you can not wait 24 hours make a payment of 150 XMR instead, you will receive the instructions in 2 hours)

KEEP IN MIND THAT FOLLOWING THESE STEPS WILL GIVE YOUR FILE BACK 100%, ANY OTHER METHOD WILL NOT WORK.

YOUR UNIQUE ID:

775173446b657547393345615377594f3659393535666f7a52***

Перевод записки на русский язык:

НЕ ВАШ ЯЗЫК? ИСПОЛЬЗУЙТЕ https://translate.google.com

Что случилось с вашими файлами?

Все ваши файлы теперь защищены надежным методом шифрования.

Если у вас есть ценные данные, не тратьте свое время, т.к. нет другого способа вернуть ваши файлы, только с моим инструментом дешифрования, который вы можете купить, сделав следующие шаги.

СЛЕДУЙ ЭТИМ ШАГАМ:

1)Отправьте 100 XMR (Monero) на 4ASaDVQiHE59wGWvvamXPaekxsw4p2K5n3YrmXzwfVaL2QiPTG78iVsDkhxdc8fPPzaQxBCUJ6u5Rbum16LBstY4SAQQ8Mj (купить можно по официальному руководству https://www.getmonero.org/community/merchants/)

2) Отправьте ключ транзакции для подтверждения платежа по почте на juanjoorodriguez@protonmail.com и juanjo.rodriguez@tutanota.com.

3)Вы получите на почту инструкцию как расшифровать ваши файлы в течение 24 часов (Если вы не можете ждать 24 часа, сделайте вместо этого платеж в размере 150 XMR, вы получите инструкцию в течение 2 часов)

ПОМНИТЕ, ЧТО СЛЕДУЮЩИЕ ЭТИ ШАГИ ВЕРНУТ ВАШ ФАЙЛ НА 100%, ЛЮБОЙ ДРУГОЙ МЕТОД НЕ РАБОТАЕТ.

ВАШ УНИКАЛЬНЫЙ ID:

775173446b657547393345615377594f3659393535666f7a52***

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Распространяется с помощью сайтов пиратского ПО, перепакованных и заражённых инсталляторов. 

Может также распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_Readme_.txt - название файла с требованием выкупа;
config.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\config.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: juanjoorodriguez@protonmail.com, juanjo.rodriguez@tutanota.com
XMR (Monero):  4ASaDVQiHE59wGWvvamXPaekxsw4p2K5n3YrmXzwfVaL2QiPTG78iVsDkhxdc8fPPzaQxBCUJ6u5Rbum16LBstY4SAQQ8Mj

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: cf351819c69c94fbdaec24cb8c30990b

SHA-1: 4911d5384ca3720c48a0c8ba47b1edba33dfa0ff

SHA-256: 25d18c3823a3b210a18e69c823ce4c59fab298c315ac2a5d891027921d1c6d7e

Vhash: 026066655d5d15541az28!z

Imphash: c7269d59926fa4252270f407e4dab043

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

NoWay

NoWay Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель делает вид, что шифрует данные пользователей с помощью комбинации алгоритмов AES-256 + RSA, а затем требует выкуп $250 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения (вспомогательный файл):
DrWeb -> Trojan.Inject4.23400
BitDefender -> Trojan.GenericKD.38423059
ESET-NOD32 -> A Variant Of Win64/Kryptik.CMZ
Kaspersky -> Backdoor.Win32.Androm.uydg
Malwarebytes -> Trojan.Injector
Microsoft -> Trojan:Win32/Woreflint.A!cl
Rising -> Backdoor.Androm!8.113 (CLOUD)
Symantec -> Trojan.Gen.MBT
Tencent -> Win32.Backdoor.Androm.Sunp
TrendMicro -> TROJ_GEN.R002H0CLU21
---

© Генеалогия: ??? >> NoWay

Сайт "ID Ransomware" идентифицирует это как NoWay. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К фейк-зашифрованным файлам добавляется расширение: .noway

Имя файла вместе с расширением кодируется в base64 и может быть восстановлено с помощью онлайн-декодера на сайте base64decode.net. 

Если убрать расширение .noway и декодировать имя файла, то файл можно открыть, как обычно. Это довольно сложно сделать для множества зашифрованных файлов, поэтому лучше использовать дешифровщик (см. ссылку в конце статьи). 

Записка с требованием выкупа называется: Unlock your file Instraction.txt

Содержание записки о выкупе:

All your files have been Encrypted with the AES-256 encryption algorithym

making your files inaccessible. I will show you how to get them back.

You have 72 hours starting from now to pay your ransom before your

private key is deleted from our servers permenantly, making your files

inaccessible forever, If you try to damage, remove or tamper with this

software in any way your  key will self destruct.

Instructions to recover your files :

1. Go to https://login.blockchain.com/#/signup or any website where you can buy bitcoin and set up a new wallet.

2. Purchase 250$ of bitcoins .

3. Send 250$ of bitcoins to the address : 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

4. then send your transaction ID to : michael.adler@swsemarketing.ca

to get your decryption key for your files

Перевод записки на русский язык:

Все ваши файлы зашифрованы с алгоритмом шифрования AES-256, что делает ваши файлы недоступными. Я покажу вам, как их вернуть. 

У вас есть 72 часа, начиная с этого, чтобы заплатить выкуп, прежде чем ваш закрытый ключ будет навсегда удален с наших серверов, что сделает ваши файлы недоступными навсегда. Если вы попытаетесь повредить, удалить или вмешаться в эту программу, ваш ключ самоуничтожится. 

Инструкции по восстановлению ваших файлов:

1. Перейдите на https://login.blockchain.com/#/signup или на любой другой веб-сайт, на котором вы можете купить биткойны и настроить новый кошелек.

2. Купите 250$ биткойнов.

3. Отправьте 250$ биткойнов на адрес: 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

4. затем отправьте свой ID транзакции на адрес: michael.adler@swsemarketing.ca

чтобы получить ключ дешифрования ваших файлов

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся фейк-шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Unlock your file Instraction.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: michael.adler@swsemarketing.ca
BTC: 3GfbwCbTJXFLmLBL8E59YJdhs9uftLfSM5

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов (связаны с DarkVision RAT): 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 5a0160ed4f57e8aeb9ce39f1d3606548

SHA-1: 1eef4cfb70cceced854911d189679c50d86e6af1

SHA-256: cd728d0db13233a07740e7f802582f375ff625a9966e68e41cca051ebf19daad

Vhash: 045066555d1555751021z14z57jz11zffz

Imphash: 19c1a6dfbb72165cd68f322978fb4434

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support
 ***

Внимание!
Файлы можно расшифровать. 
Скачать Emsisoft Decryptor for NoWay >> 

 Thanks: 
 Michael Gillespie, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Cincoo

Cincoo Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп 6000$ в Monero, чтобы вернуть файлы. Оригинальное название: Cincoo. На файле написано: Cincoo.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.35063
BitDefender -> Gen:Variant.Doina.30220
ESET-NOD32 -> A Variant Of Win32/Filecoder.OJT
Kaspersky -> HEUR:Trojan-Ransom.Win32.Agent.gen
Malwarebytes -> Malware.AI.3948084152
Microsoft -> TrojanDownloader:Win32/Convagent!mclg
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Aisc
---

© Генеалогия: ??? >> Cincoo

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г.  Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: _enc

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

Some of your files unavailable

We wait our reward: 6000$

Payment method:

Monero : 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

After payment files will automatically restored

Contacts:

nm67p7a@mailfence.com

Перевод записки на русский язык:

Некоторые из ваших файлов недоступны

Ждём нашу награду: 6000$

Способ оплаты:

Монеро: 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

После оплаты файлы автоматически вернутся

Контакты:

nm67p7a@mailfence.com

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
Cincoo.pdb - название файла проекта; 

Cincoo.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\repos\Cincoo\Cincoo\Cincoo\Release\Cincoo.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: nm67p7a@mailfence.com
Monero (XMR): 43WdPFodMTf6dhkNMauHa1UPRXNTT55XGCtjQeJVDmVTEJqN6NE7LeKFR3eTnNAuhoJpBkvb5XpjKHrod5u1BoDe4mYJ4fB

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 7976be9650ff52c6d9900a10999b1aa3

SHA-1: fe28575b83718ac91e2e4dea643d0e897ef80b59

SHA-256: 9ccba9179e1e36fc5571738fb046617955e9d145116b2aa028e335e5d7153b99

Vhash: 045056655d15556az5a!z

Imphash: 830d812500c3679c26a817c662020cf5

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Surtr

Surtr Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать на email вымогателей, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: SurtrRansomware, Surtr RaaS. На файле написано: Surtr.exe. Языки программирования: C, C++  и другие. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.34790
BitDefender -> Gen:Variant.Bulz.597982
ESET-NOD32 -> A Variant Of Win64/Injector.GN
Kaspersky -> Trojan.Win32.DelShad.hko
Malwarebytes -> Ransom.Surtr
Microsoft -> Ransom:Win64/Surtr.MK!MTB
Rising -> Trojan.Injector!8.C4 (CLOUD)
Symantec -> Trojan.Gen.2
Tencent -> Win32.Trojan.Delshad.Anfw
TrendMicro -> TROJ_GEN.R002H0DLN21
---

© Генеалогия: ??? >> Surtr

Сайт "ID Ransomware" идентифицирует это как Surtr. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце декабря 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .SURT

Фактически используется составное расширение по шаблону: .[DecryptMyData@mailfence.com].SURT

Записки с требованием выкупа называются: 

SURTR_README.txt

SURTR_README.hta

Содержание записки SURTR_README.txt:

What happened to your files?

Unfortunately, your server was compromised, 

using a security hole in your server.

All your files are encrypted with a military algorithm .

in order to contact us you can email this address

DecryptMyData@mailfence.com

use this ID( Mg7XhdqAg5vABo ) for the title of your email.

if you weren't able to contact us within 24 hours please email :

Decrypter@msgsafe.io

Only we can decrypt your files.

Please do not contact separate fraudulent sites.

You can use freeand even paid software on the Internet, 

but it is uselessand will cause you to lose filesand timeand money.

Перевод записки на русский язык:

Что случилось с вашими файлами?

К сожалению, ваш сервер был взломан,

используя дыру в безопасности на вашем сервере.

Все ваши файлы зашифрованы с военным алгоритмом.

чтобы связаться с нами, вы можете email на этот адрес

DecryptMyData@mailfence.com

используйте этот ID (Mg7XhdqAg5vABo) для заголовка вашего email.

если вы не смогли написать нам в течение 24 часов, пишите на email:

Decrypter@msgsafe.io

Только мы можем расшифровать ваши файлы.

Пожалуйста, не связывайтесь с отдельными мошенническими сайтами.

Вы можете использовать бесплатные и даже платные программы в Интернете,

но это бесполезно и приведет к потере файлов, времени и денег

Содержание записки SURTR_README.hta:

SurtrRansomware 

OOPS ALL YOUR IMPORTANT FILES HAVE BEEN ENCRYPTED AND STOLEN !!

Notice : There is only one way to restore your data read the boxes carefully! 

Attention :

☢ Do Not change file names. 

☢ Do Not try to decrypt using third party softwares , it may cause permanent data loss . 

☢ If you do not pay the fee within one month , your important files will be published in our public belog . 

☢ Do not pay any money before decrypting the test files. 

☢ You can use our 50% discount if you pay the fee within first 15 days of encryption . otherwise the price will be doubled. 

☢ In order to warranty you , our team will decrypt 3 of your desired files for free.but you need to pay the specified price for the rest of the operation . 

How To Decrypt :

☢ Your system is offline . in order to contact us you can email this address  DecryptMyData@mailfence.com  use this ID (Mg7XhdqAg5vABo) for the title of your email . 

☢ If you weren't able to contact us within 24 hours please email :  Decrypter@msgsafe.io  

☢ If you didn't get any respond within 48 hours use this link (Not Available Now).send your ID and your cryptor name (SurtrRansomwareUserName) therefore we can create another way to contact you as soon as possible  

Перевод записки на русский язык:

SurtrRansomware

Упс ВСЕ ВАШИ ВАЖНЫЕ ФАЙЛЫ ЗАШИФРОВАНЫ И УКРАДЕНЫ !!

Примечание: есть только один способ восстановить ваши данные, внимательно прочтите!

Внимание :

☢ Не меняйте имена файлов.

☢ Не пытайтесь расшифровать с помощью сторонних программ, это может привести к безвозвратной потере данных.

☢ Если вы не оплатите взнос в течение одного месяца, ваши важные файлы будут опубликованы в нашем общедоступном блоге.

☢ Не платите деньги перед расшифровкой тестовых файлов.

☢ Вы можете воспользоваться нашей скидкой 50%, если заплатите комиссию в течение первых 15 дней после шифрования. иначе цена будет удвоена.

☢ Чтобы гарантировать вам, наша команда бесплатно расшифрует 3 нужных вам файла, но вам надо заплатить указанную цену за оставшуюся часть операции.

Как расшифровать:

☢ Ваша система отключена. чтобы связаться с нами, вы можете написать на этот адрес DecryptMyData@mailfence.com, используйте этот ID (Mg7XhdqAg5vABo) как заголовок вашего email.

☢ Если вы не смогли связаться с нами в течение 24 часов, пишите email на: Decrypter@msgsafe.io

☢ Если вы не получили ответа в течение 48 часов, используйте эту ссылку (сейчас недоступно). Отправьте свой ID и имя шифровальщика (SurtrRansomwareUserName), чтобы мы могли создать другой способ связаться с вами как можно скорее

Другим информатором является изображение, заменяющее обои Рабочего стола. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, манипулирует размером теневого хранилища, отключает функции восстановления и исправления Windows на этапе загрузки, отдельно удаляет все найденные бэкапы. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
SURTR_README.txt - название файла с требованием выкупа;

SURTR_README.hta - название файла с требованием выкупа;
Surtr.exe - случайное название вредоносного файла; 

ID_DATA.surt - файл с идентификатором;

Private_DATA.surt - приватный данные; 

Public_DATA.surt - публичные данные; 

SurtrBackGround.jpg - фоновое изображение; 

SurtrIcon.ico - иконка;  

Dropper.pdb - файл проекта. 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\ProgramData\Service\ID_DATA.surt

C:\ProgramData\Service\Private_DATA.surt

C:\ProgramData\Service\Public_DATA.surt

C:\ProgramData\Service\SURTR_README.hta

C:\ProgramData\Service\SURTR_README.txt

C:\ProgramData\Service\Surtr.exe

C:\ProgramData\Service\SurtrBackGround.jpg

C:\ProgramData\Service\SurtrIcon.ico

C:\Users\Admin\AppData\Local\Temp\Service\ID_DATA.surt

C:\Users\Admin\AppData\Local\Temp\Service\Surtr.exe

C:\Users\Admin\AppData\Local\Temp\Service\SURTR_README.hta

C:\Users\Dev\source\repos\Dropper\x64\Release\Dropper.pdb

Файлы в Автозагрузке системы: 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.txt 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Surtr.exe 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Surtr.exe 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.hta 

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.txt 

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\Surtr.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: DecryptMyData@mailfence.com, Decrypter@msgsafe.io
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB, MB

MD5: e6fc190168519d6a6c4f1519e9450f0f

SHA-1: af2080ddf1064fb80c7b9af942aaabf264441098

SHA-256: 8199ef63e0058be6217ec8392258fbe7fac9fb556b8e87f40a3a45835f424980

Vhash: 035076655d155515555038z4f3z1@z

Imphash: dc2674579d8467837a92f4344084fc20

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 3 марта 2022: 

Сообщение >>

Расширение: .surtr

Email: Dec_youfile1986@mailfence.com

Записки: SURTR_README.hta, SURTR_README.txt

Изображение на обои: SurtrBackGround.jpg

Результаты анализов: VT + IA + TG

Обнаружения: 

BitDefender -> Gen:Variant.Lazy.132748

DrWeb -> Trojan.Siggen17.19184

ESET-NOD32 -> A Variant Of Win32/Filecoder.NHQ

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Malwarebytes -> Ransom.Surtr

Microsoft -> Ransom:Win32/Babuk.SIB!MTB

Rising -> Ransom.Agent!8.6B7 (CLOUD)

Tencent -> Win32.Trojan.Filecoder.Wnmq

TrendMicro -> Ransom.Win32.SURTR.YXCCCT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.