Pandora

Pandora Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Pandora. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.MulDrop19.60480

Avast -> Win64:RansomX-gen [Ransom]
BitDefender -> Trojan.GenericKD.48574923
ESET-NOD32 -> A Variant Of Win64/Filecoder.FC
Kaspersky -> Trojan.Win32.DelShad.iby
Malwarebytes -> Ransom.FileLocker
Microsoft -> Ransom:Win64/FileCoder!MSR
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Delshad.Gby
TrendMicro -> Ransom.Win64.PANDORA.YECCM
---

© Генеалогия: ✂ Rook >> Pandora

Сайт "ID Ransomware" идентифицирует это как Pandora. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале марта 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .pandora


Записка с требованием выкупа называется: Restore_My_Files.txt

Содержание записки о выкупе:

### What happened?

#### !!!Your files are encrypted!!!

*All your files are protected by strong encryption with RSA-2048.*

*There is no public decryption software.*

*We have successfully stolen your confidential document data, finances, emails, employee information, customers, research and development products...*

#### What is the price?

*The price depends on how fast you can write to us.*

*After payment, we will send you the decryption tool which will decrypt all your files.*

#### What should I do?

*There is only one way to get your files back —>>contact us, pay and get decryption software.*

*lf vou decline oavment. we will share vour data files with the world.*

*You can browse your data breach here: hxxx://vbfqeh5nugm6r2u2qvghsdxm3fotf5wbxb5ltv6vw77vus5frdpuaiid.onion

(you should download and install TOR browser first hxxps://torproject, org)

#### !!!Decryption Guaranteed!!!

*Free decryption As a guarantee, you can send us up to 3 free decrypted files before payment.*

#### !!!Contact us!!!

email:

contact@pandoraxyz.xyz

#### !!!Warning!!!

*Do not attempt to decrypt your data using third-party software, this may result in permanent data loss.*

*Decrypting your files with the help of a third party may result in a price increase (they charge us a fee), or you may fall victim to a scam.*

*Don't try to delete programs or run antivirus tools, it won't work.*

*Attempting to self-decrypt the file will result in the loss of your data.*

Перевод записки на русский язык:

### Что случилось?

#### !!!Ваши файлы зашифрованы!!!

*Все ваши файлы защищены надежным шифрованием RSA-2048.*

*Отсутствует общедоступная программа для расшифровки.*

*Мы успешно украли ваши конфиденциальные данные документов, финансы, электронные письма, информацию о сотрудниках, клиентах, продуктах исследований и разработок...*

#### Какова цена?

*Цена зависит от того, как быстро вы сможете нам написать.*

*После оплаты мы вышлем вам инструмент расшифровки, который расшифрует все ваши файлы.*

#### Что я должен делать?

*Есть только один способ вернуть ваши файлы —>> свяжитесь с нами, оплатите и получите программу для расшифровки.*

*Если вы откажетесь от участия. мы поделимся четырьмя файлами данных со всем миром.*

*Вы можете просмотреть сведения об утечке данных здесь: hxxx://vbfqeh5nugm6r2u2qvghsdxm3fotf5wbxb5ltv6vw77vus5frdpuaiid.onion

(сначала необходимо скачать и установить браузер TOR hxxps://torproject, org)

#### !!!Расшифровка гарантирована!!!

*Бесплатная расшифровка В качестве гарантии вы можете отправить нам до 3 бесплатных расшифрованных файлов перед оплатой.*

#### !!!Связаться с нами!!!

Эл. адрес:

contact@pandoraxyz.xyz

#### !!!Предупреждение!!!

*Не пытайтесь расшифровать свои данные с помощью стороннего программного обеспечения, это может привести к безвозвратной потере данных.*

*Расшифровка ваших файлов с помощью третьей стороны может привести к увеличению цены (они берут с нас комиссию), или вы можете стать жертвой мошенничества.*

*Не пытайтесь удалять программы или запускать антивирусные инструменты, это не сработает.*

*Попытка самостоятельно расшифровать файл приведет к потере ваших данных.*

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 



➤ UAC не обходит, требуется разрешение на запуск вредоносного файла. 

➤ Удаляет теневые копии файлов. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Restore_My_Files.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: contact@pandoraxyz.xyz
BTC: - 

Tor-URL: hxxx://vbfqeh5nugm6r2u2qvghsdxm3fotf5wbxb5ltv6vw77vus5frdpuaiid.onion

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 0c4a84b66832a08dccc42b478d9d5e1b

SHA-1: 160320b920a5ef22ac17b48146152ffbef60461f

SHA-256: 5b56c5d86347e164c6e571c86dbf5b1535eae6b979fede6ed66b01e79ea33b7b

Vhash: 02503e0f7d1019z4hz1lz

Imphash: 51a8b4c9f41b0c0ca57db63e21505b0d

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 0c4a84b66832a08dccc42b478d9d5e1b

SHA-1: 160320b920a5ef22ac17b48146152ffbef60461f

SHA-256: 5b56c5d86347e164c6e571c86dbf5b1535eae6b979fede6ed66b01e79ea33b7b

Vhash: 02503e0f7d1019z4hz1lz

Imphash: 51a8b4c9f41b0c0ca57db63e21505b0d

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Rook Ransomware - ноябрь 2021

NightSky Ransomware - январь 2022

Pandora Ransomware - март 2022

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Некоторые утечки на Tor-сайте вымогателей:

 

 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message + myMessage
 Write-up, Topic of Support
 * 

Added later: Quick revs: Pandora Ransomware

 Thanks: 
 MalwareHunterTeam, DarkTracer, Marius 'f0wL' Genheimer
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

CheersCrypt

Cheers Extortion Group

Cheers Hacking Team

Cheers Doxware

Cheers Ransomware

CheersCrypt Ransomware

(хакеры-вымогатели, доксеры, публикаторы) (первоисточник на русском)
Translation into English

Эти хакеры-вымогатели атакуют ресурсы бизнес-пользователей, похищают их данные, а затем требует выкуп, чтобы вернуть файлы, не опубликовав их для всеобщего обозрения. Оригинальное название группы-вымогателей: Cheers Hacking Team (CHT). 
---

Сайт "ID Ransomware" идентифицирует это как Cheers. 

Информация для идентификации

Активность этой группы хакеров-вымогателей началась с февраля 2022 г. и продолжалась после. 

Группа хакеров-вымогателей отправляет пострадавшей компании и её клиентам/партнерам персонифицированные сообщения, вместо общей для всех записки о выкупе. 

Пример записки: How To Restore Your Files.txt

Страницы сайта хакеров-вымогателей

На момент первичной подготовки статьи на сайте хакеров-вымогателей было 3 пресс-релиза. Среди них есть бельгийский госпиталь и две неназванные компании.  

Внимание! Новые элементы, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Вредоносные инструменты, которые используют хакеры-вымогатели, могут распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся доксингу:
Нет специального списка, все зависит от объекта нападения и конкретной цели. 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Инструменты группы: 

Хакерская группа может использовать учётные данные VPN для получения первоначального доступа к сети жертвы. Могут использоваться Cobalt Strike и AnyDesk или другое ПО для удаленного доступа, а после получения доступа инструменты повышения привилегий, в том числе Mimikatz или PowerShell для кражи файлов, содержащих данные Active Directory. 

Предполагается, что CheersCrypt связана с китайской хакерской группой Emperor Dragonfly, которая, часто переключается между семействами программ-вымогателей, чтобы избежать установления авторства.

Шифрование: 

В схеме шифрования используется пара, состоящая из открытого и закрытого ключей для получения секретного ключа (потоковое шифрование SOSEMANUK) и встраивания его в каждый зашифрованный файл. Закрытый ключ, используемый для создания секретного ключа, стирается, чтобы предотвратить восстановление.​

Сетевые подключения и связи:
Tor-URL: 

Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 Added later: Write-up, Write-Up

 Thanks: 
 MalwareHunterTeam, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

PSRansom

PSRansom Ransomware

PowerShell Ransomware Simulator

(вымогатель-симулятор) (первоисточник)
Translation into English

Этот крипто-симулятор не шифрует данные пользователей с помощью комбинации алгоритмов, но позволяет имитировать процесс шифрования файлов программой-вымогателем, используя только PowerShell и имитируя эксфильтрацию файлов через собственный C2 в Windows и Linux. Оригинальное название: PSRansom. На файле написано: PSRansom.ps1. Разработчик: JoelGMSec. 

---
Обнаружения:
DrWeb -> 
BitDefender -> Generic.Ransom.PSRansom.A.FB30B09D
ESET-NOD32 -> PowerShell/HackTool.Agent.AD Potentially Unsafe
Kaspersky -> Trojan-Ransom.PowerShell.PSRansom.a
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> PowerShell/HackTool.Agent.AD Potentially Unsafe
---

© Генеалогия: PSRansom сам по себе. 

Сайт "ID Ransomware" идентифицирует это как PSRansom. 

Информация для идентификации

Первичная информация была опубликована в конце февраля 2022 г. Разработчик представил свой крипто-симулятор на своем сайте и на сайте GitHub. 

Требования: наличие PowerShell 4.0 или выше. 

К зашифрованным файлам добавляется расширение: *нет данных*.
Записка с требованием выкупа называется: *** нет данных ***.

Содержание записки о выкупе:
All your files have been encrypted by PSRansom!

***

То, что можно назвать самопредставлением, отражено в тексте: 

 ____  ____  ____
 |  _ \/ ___||  _ \ __ _ _ __  ___  ___  _ __ ___
 | |_) \___ \| |_) / _' | '_ \/ __|/ _ \| '_ ' _ \
 |  __/ ___) |  _ < (_| | | | \__ \ (_) | | | | | |
 |_|   |____/|_| \_\__,_|_| |_|___/\___/|_| |_| |_|

  ----------------- by @JoelGMSec ----------------

 Info:  This tool helps you simulate encryption process of a
        generic ransomware in PowerShell with C2 capabilities

 Usage: .\PSRansom.ps1 -e Directory -s C2Server -p C2Port
          Encrypt all files & sends recovery key to C2Server
          Use -x to exfiltrate and decrypt files on C2Server

        .\PSRansom.ps1 -d Directory -k RecoveryKey
          Decrypt all files with recovery key string

 Warning: All info will be sent to the C2Server without any encryption
          You need previously generated recovery key to retrieve files

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Сейчас это распространяется разработчиком как крипто-симулятор, но кто-то может воспользоваться заготовкой и переработать симулятор в действующую программу-вымогатель. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Не указано. 

После доработки это могут оказаться документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
PSRansom.ps1 - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: hxxxs://darkbyte.net/psransom-simulando-un-ransomware-generico-con-powershell/

GH: hxxxs://github.com/JoelGMSec/PSRansom

Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB, MB

MD5: 822e50d817bbb212c9a5e16a782bc7c4

SHA-1: 251ed133c649fcbe288f105d5e66ca42244bb4f2

SHA-256: 9d52abc5896a099f63fd8d2935d30d211cb6a3f5ed8e0d907bc0429cb8708d90

Vhash: 7502578ee6d480a446e6dc4e608ce658

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 ***
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

RU_Ransom

RU_Ransom Ransomware

RURansom Ransomware

(шифровальщик-вымогатель, стиратель, деструктор, пугатель) (первоисточник)
Translation into English

Этот крипто-вымогатель сначала шифрует файлы с помощью алгоритма AES (режим CBC), а на самом деле создан, чтобы атаковать российских пользователей. Оставляет сообщение, что файлы повреждены и их не вернуть. Оригинальное название: RU_Ransom (написано в записке). На файле написано: RURansom.exe. Написан на языке программирования .NET. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.35017, Trojan.Encoder.35064, Trojan.Encoder.35066, 

BitDefender -> Gen:Heur.Ransom.MSIL.!diop!.1
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AOS
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Crypmodng.gen
Malwarebytes -> Ransom.FileCryptor
Rising -> Trojan.Generic/MSIL@AI.94 (RDM.MSIL:*
Tencent -> Msil.Trojan.Crypmodng.Efap
TrendMicro -> Ransom.MSIL.RUCRYPT.YXCCD
---

© Генеалогия: ??? >> RURansom (RU_Ransom)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце февраля и начале марта 2022 г. Ориентирован на русскоязычных пользователей, имеющих российский IP-адрес. Ни о каких пострадавших компьютерах россиян пока не сообщалось. RuRansom имеет функционал вайпера, стирающего данные. Уплата выкупа бесполезна! 

К зашифрованным файлам добавляется расширение: .fs_invade

Записка с требованием выкупа называется: Полномасштабное_кибервторжение.txt

Содержание записки о выкупе:
24 февраля президент Владимир Путин объявил войну Украине.

Чтобы противостоять этому, я, создатель RU_Ransom, создал эту вредоносную программу для нанесения ущерба России. Вы купили это себе, господин президент.

Нет никакого способа расшифровать ваши файлы. Никакой оплаты, только ущерб. И да, это "миротворчество", как это делает Влади Папа, убивая невинных мирных жителей

И да, это было переведено с бангла на русский с помощью Google Translate...

Перевод записки на английский язык (с помощью Google Translate):

On February 24, President Vladimir Putin declared war on Ukraine.

To counter this, I, the creator of RU_Ransom, created this malware to harm Russia. You bought it for yourself, Mr. President.

There is no way to decrypt your files. No payment, only damage. And yes, this is \"peacekeeping\", as Vladi Papa does, killing innocent civilians

And yes, it was translated from Bangla to Russian using Google Translate...

Под словом "бангла" подразумевается бенгальский язык (Бангладеш). Нет никаких доказательств, что это не имитация. Больше похоже на выпендреж и самолюбование. Специалисты TrendMicro нашли образцы других "творений" этого диванного бойца. Образцы есть в статье. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Написан на языке программирования .NET и распространяется как червь, копируя себя под именем файла "Россия-Украина_Война-Обновление.doc.exe" на все съемные диски и подключенные сетевые ресурсы. В переводе на английский название файла звучит как "Russia-Ukraine_War-Update.doc.exe".

➤ Файлы шифруются случайно сгенерированным ключом длиной base64 (FullScaleCyberInvasion + MachineName). Ключи уникальны для каждого зашифрованного файла и нигде не сохраняются, что делает шифрование необратимым, поэтому это по большей части стиратель (wiper), а не классический ransomware.

➤ Использует PowerShell для запуска командаплета Start-Process. 

Список типов файлов, подвергающихся шифрованию:
нацелен на все файлы во всех папках и подпапках, кроме файлов .bak, которые удаляются.  

Файлы, связанные с этим Ransomware:
Полномасштабное_кибервторжение.txt - название файла с требованием выкупа;
Россия-Украина_Война-Обновление.doc.exe - название вредоносного файла;

RURansom.pdb - название файла проекта; 

RURansom.exe - название вредоносного файла. 

 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin1\source\repos\RURansom\RURansom\obj\Debug\RURansom.pdb

Записи реестра, связанные с этим Ransomware:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\RURansom_RASAPI32\ConsoleTracingMask

HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\RURansom_RASAPI32

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\RURansom_RASAPI32\FileDirectory

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\RURansom_RASAPI32\FileTracingMask

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\RURansom_RASAPI32\EnableFileTracing

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\RURansom_RASAPI32\MaxFileSize

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\RURansom_RASAPI32\EnableConsoleTracing

См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: fe43de9ab92ac5f6f7016ba105c1cb4e

SHA-1: 27a16e1367fd3e943a56d564add967ad4da879d8

SHA-256: 8f2ea18ed82085574888a03547a020b7009e05ae0ecbf4e9e0b8fe8502059aae

Vhash: 214036555518084a60020

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

---

IOC: VT, IA, TG, AR, VMR, JSB

MD5: 8fe6f25fc7e8c0caab2fdca8b9a3be89

SHA-1: a30bf5d046b6255fa2c4b029abbcf734824a7f15

SHA-256: 107da216ad99b7c0171745fe7f826e51b27b1812d435b55c3ddb801e23137d8f

Vhash: 22503675151110c510f1020

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

---

IOC: VT, IA, TG

MD5: 01ae141dd0fb97e69e6ea7d6bf22ab32

SHA-1: c35ab665f631c483e6ec315fda0c01ba4558c8f2

SHA-256: 1f36898228197ee30c7b0ec0e48e804caa6edec33e3a91eeaf7aa2c5bbb9c6e0

Vhash: 2350367515170a1701010

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 7 марта 2022:

Сообщение >>

Изменения: Добавлена проверка "IsRussia" по IP, через сайт ipinfo.io, для других стран показывается сообщение: 

Программу могут запускать только российские пользователи 

ОШИБКА!

Файл: RURansom.exe
IOC: VT, HA, IA, TG, AR, VMR, JSB

Обнаружения: 

DrWeb -> Trojan.Encoder.35064

BitDefender -> Gen:Heur.Ransom.MSIL.!diop!.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.AOS

Malwarebytes -> Ransom.FileCryptor

Tencent -> Msil.Trojan.Ransom.Htvq

TrendMicro -> Ransom.MSIL.RUCRYPT.YXCCHT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.