CryptoJoker 2022

CryptoJoker 2022 Ransomware

CryptoJoker-CAD Ransomware

(шифровальщик-не-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем вместо того, чтобы требовать  выкуп за расшифровку файлов, он оставляет записку, в которой рассказывает историю саудовского певца и композитора Талал Мадда. Оригинальное название: CryptoJoker. На файле написано: CAD.exe. 

---

➤ Для получения программы для расшифровки файлов пишите в тему поддержки - Demonslay335 может помочь.
---
Обнаружения:
DrWeb -> Trojan.Encoder.35078
BitDefender -> Trojan.Ransom.CryptoJoker.A
ESET-NOD32 -> A Variant Of MSIL/Filecoder.CryptoJoker.D
Kaspersky -> UDS:DangerousObject.Multi.Generic
Malwarebytes -> Trojan.MalPack
Microsoft -> Trojan:Win32/AgentTesla!ml
Rising -> Ransom.CryptoJoker!1.D0E2 (CLASSIC)
Tencent -> Win32.Trojan.Generic.Dygq
TrendMicro -> TROJ_GEN.R002C0RCB22
---

© Генеалогия: более ранние варианты > CryptoJoker 2020 > CryptoJoker 2021 > CryptoJoker 2022 

Сайт "ID Ransomware" идентифицирует это как CryptoJoker. 

Информация для идентификации

Активность этого крипто-вымогателя была в первой половине марта 2022 г. Ориентирован на арабоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .fucked

Но оно используется, как и в предыдущих вариантах, в составе двух типов:

.partially.fucked

.fully.fucked

Записка без требований выкупа называется: CAD Recovery Information.txt

Да, в ней нет требований выкупа и контактов для связи. 

Текст при открытии выглядит не читаемым, вероятно, потому что он предназначен для пользователей, на компьютере которых языком по умолчанию установлен арабский. 

Путем некоторых манипуляций (Big thanks to MalwareHunterTeam) получаем арабский текст, в котором вместо требований выкупа рассказывается о моментах жизни Талал Мадда (Talal Maddah), саудовском музыканте и композиторе.  

Переводчик Google в помощь, разумеется. 

Содержание части текста на арабском: 

ےطلال مداح (5 اغسطس 1940   11 اغسطس 2000) هو مغن وملحن سعودي

ألقاب

ع.ُرف طلال مداح بألقاب عديدة منها  الحنجرة الذهبية  و قيثارة الشرق   و صوت الأرض  و فارس الأغنية السعودية  و فيلسوف النغم الأصيل  و زرياب   (أطلقه عليه موسيقار الأجيال محمد عبد الوهاب) و أستاذ الجميع  (أطلقه عليه الفنان محمد عبده) له تأثير هائل على الثقافة العربية في القرن 20 وهو رائد الحداثة بالأغنية السعودية

***

Перевод части текста на русский язык:

Талал Мадда (5 августа 1940 — 11 августа 2000) — саудовский певец и композитор. 

Прозвища. 

Талал Мадда известен под многими титулами, в том числе «Золотое горло», «Восточная гитара», «Голос Земли», «Рыцарь саудовской песни», «Философ аутентичных мелодий», «Зирьяб« (так называл музыкант многих поколений Мохамед Абдель Вахаб) и Профессор всех (художник Мохамед Абдо), оказавший огромное влияние на арабскую культуру 20 века, пионер современности в саудовской песне.

Краткое содержание его жизни. 

Его настоящее имя было Талал бин Абдул Шейх бин Ахмед бин Джаафар Аль-Джабри. Художник Талал Мадда родился в Мекке 5 августа 1940 года. 

***

Согласно найденным в коде строкам, должен быть еще экран блокировки, в котором есть сообщение, email-адрес и адрес BTC-кошелька, но это информационное сообщение не отобразилось. Кроме того имеются различные ссылки, но вставлять их сюда рискованно. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
CAD Recovery Information.txt - название файла, заменяющего записку;
CAD.exe - название вредоносного файла; 

CADdecryptor.exe - название файла дешифровщика; 

w.jpg - файл изображения, заменяющий обои; 

encKey.fucked - специальный файл; 

cad.fucked - специальный файл.  

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

D:\ksm\fucking work\TMACv6.0\CryptoJoker-master - Copy\CryptoJoker\obj\Debug\CAD.pdb

C:\Users\MBA\Desktop\fucking work\TMACv6.0\CryptoJoker-master - Copy\CryptoJokerDecryptor\obj\Debug\CADdecryptor.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: cadransomware@gmail.com
BTC: 19iaqy7bkvcTFCoqkUHm7WdYRV4sPNRrqV

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 1c249309871bae43fe787df7976df355

SHA-1: 12da8b967fd7a4a64f3836372430c5862ee24528

SHA-256: 8a1d46b80f61c17f62139c1b46be9208e09055e821d8bed59532089fa5b21b48

Vhash: 225036755514c0171a5d3b60d4

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

CryptoJoker 2016 Ransomware - январь 2016

Executioner Ransomware - начало июня 2017

CryptoJoker 2017 Ransomware - середина июня 2017

ExecutionerPlus Ransomware - декабрь 2017

CryptoNar (CryptoJoker 2018) Ransomware - август 2018

CryptoJoker 2019 Ransomware - сентябрь 2019

CryptoJoker 2020 Ransomware - ноябрь 2020

CryptoJoker 2021 Ransomware - октябрь 2021

CryptoJoker 2022 Ransomware - март 2022

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 Petrovic, MalwareHunterTeam
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

DonnaRenniCrypt

DonnaRenniCrypt Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в $300, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Symantec -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: ??? >> DonnaRenniCrypt

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в первой половине марта 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .crypt

Записка с требованием выкупа называется: WARNING.txt

Содержание записки о выкупе:

Your identification number: 10***

E-mail to contact us: DONNARENNI292@mail.com

Identification number: 10***

Your computer has been hacked!

All files with extentions (*.txt *.xls *.docx *.doc *.cer *.key *.rtf *.xlsx *.text *.ppt *.pdf *.cdx *.cdr  *.js *.css *.asm *.jpg *.dbf *.mdb *.sql *.pgp)

and many othes have been blocked. To purchase unlock code please contact us: DONNARENNI292@mail.com Price 300 USD.If you attempt to remove the informer, you may lose all your files forever.

Q: How can I make sure that you can really decipher my files?

A: You can send one of ciphered file by email DONNARENNI292@mail.com (Indicate your ID in the message title),

in the response message you receive the deciphered file.

Перевод записки на русский язык:

Ваш идентификационный номер: 10***

Email для контакта: DONNARENNI292@mail.com

Идентификационный номер: 10***

Ваш компьютер взломан!

Все файлы с расширениями (*.txt *.xls *.docx *.doc *.cer *.key *.rtf *.xlsx *.text *.ppt *.pdf *.cdx *.cdr *.js *.css *.asm *.jpg *.dbf *.mdb *.sql *.pgp)

и многие другие заблокированы. Для покупки кода разблокировки напишите нам: DONNARENNI292@mail.com Цена 300$ США. Если вы попытаетесь удалить информер, вы можете навсегда потерять все свои файлы.

В: Как я могу убедиться, что вы действительно можете расшифровать мои файлы?

О: Вы можете отправить один из зашифрованных файлов на email DONNARENNI292@mail.com (укажите свой ID в заголовке сообщения),

в ответном сообщении вы получите расшифрованный файл.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
.asm, .cdr, .cdx, .cer, .css, .dbf, .doc, .docx, .jpg, .js, .key, .mdb, .pdf, .pgp, .ppt, .rtf, .sql, .text, .txt, .xls, .xlsx и другие. 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
WARNING.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: DONNARENNI292@mail.com
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (article author)
 quietman7
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Pandora

Pandora Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Pandora. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.MulDrop19.60480

Avast -> Win64:RansomX-gen [Ransom]
BitDefender -> Trojan.GenericKD.48574923
ESET-NOD32 -> A Variant Of Win64/Filecoder.FC
Kaspersky -> Trojan.Win32.DelShad.iby
Malwarebytes -> Ransom.FileLocker
Microsoft -> Ransom:Win64/FileCoder!MSR
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Delshad.Gby
TrendMicro -> Ransom.Win64.PANDORA.YECCM
---

© Генеалогия: ✂ Rook >> Pandora

Сайт "ID Ransomware" идентифицирует это как Pandora. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале марта 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .pandora


Записка с требованием выкупа называется: Restore_My_Files.txt

Содержание записки о выкупе:

### What happened?

#### !!!Your files are encrypted!!!

*All your files are protected by strong encryption with RSA-2048.*

*There is no public decryption software.*

*We have successfully stolen your confidential document data, finances, emails, employee information, customers, research and development products...*

#### What is the price?

*The price depends on how fast you can write to us.*

*After payment, we will send you the decryption tool which will decrypt all your files.*

#### What should I do?

*There is only one way to get your files back —>>contact us, pay and get decryption software.*

*lf vou decline oavment. we will share vour data files with the world.*

*You can browse your data breach here: hxxx://vbfqeh5nugm6r2u2qvghsdxm3fotf5wbxb5ltv6vw77vus5frdpuaiid.onion

(you should download and install TOR browser first hxxps://torproject, org)

#### !!!Decryption Guaranteed!!!

*Free decryption As a guarantee, you can send us up to 3 free decrypted files before payment.*

#### !!!Contact us!!!

email:

contact@pandoraxyz.xyz

#### !!!Warning!!!

*Do not attempt to decrypt your data using third-party software, this may result in permanent data loss.*

*Decrypting your files with the help of a third party may result in a price increase (they charge us a fee), or you may fall victim to a scam.*

*Don't try to delete programs or run antivirus tools, it won't work.*

*Attempting to self-decrypt the file will result in the loss of your data.*

Перевод записки на русский язык:

### Что случилось?

#### !!!Ваши файлы зашифрованы!!!

*Все ваши файлы защищены надежным шифрованием RSA-2048.*

*Отсутствует общедоступная программа для расшифровки.*

*Мы успешно украли ваши конфиденциальные данные документов, финансы, электронные письма, информацию о сотрудниках, клиентах, продуктах исследований и разработок...*

#### Какова цена?

*Цена зависит от того, как быстро вы сможете нам написать.*

*После оплаты мы вышлем вам инструмент расшифровки, который расшифрует все ваши файлы.*

#### Что я должен делать?

*Есть только один способ вернуть ваши файлы —>> свяжитесь с нами, оплатите и получите программу для расшифровки.*

*Если вы откажетесь от участия. мы поделимся четырьмя файлами данных со всем миром.*

*Вы можете просмотреть сведения об утечке данных здесь: hxxx://vbfqeh5nugm6r2u2qvghsdxm3fotf5wbxb5ltv6vw77vus5frdpuaiid.onion

(сначала необходимо скачать и установить браузер TOR hxxps://torproject, org)

#### !!!Расшифровка гарантирована!!!

*Бесплатная расшифровка В качестве гарантии вы можете отправить нам до 3 бесплатных расшифрованных файлов перед оплатой.*

#### !!!Связаться с нами!!!

Эл. адрес:

contact@pandoraxyz.xyz

#### !!!Предупреждение!!!

*Не пытайтесь расшифровать свои данные с помощью стороннего программного обеспечения, это может привести к безвозвратной потере данных.*

*Расшифровка ваших файлов с помощью третьей стороны может привести к увеличению цены (они берут с нас комиссию), или вы можете стать жертвой мошенничества.*

*Не пытайтесь удалять программы или запускать антивирусные инструменты, это не сработает.*

*Попытка самостоятельно расшифровать файл приведет к потере ваших данных.*

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 



➤ UAC не обходит, требуется разрешение на запуск вредоносного файла. 

➤ Удаляет теневые копии файлов. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Restore_My_Files.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: contact@pandoraxyz.xyz
BTC: - 

Tor-URL: hxxx://vbfqeh5nugm6r2u2qvghsdxm3fotf5wbxb5ltv6vw77vus5frdpuaiid.onion

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 0c4a84b66832a08dccc42b478d9d5e1b

SHA-1: 160320b920a5ef22ac17b48146152ffbef60461f

SHA-256: 5b56c5d86347e164c6e571c86dbf5b1535eae6b979fede6ed66b01e79ea33b7b

Vhash: 02503e0f7d1019z4hz1lz

Imphash: 51a8b4c9f41b0c0ca57db63e21505b0d

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 0c4a84b66832a08dccc42b478d9d5e1b

SHA-1: 160320b920a5ef22ac17b48146152ffbef60461f

SHA-256: 5b56c5d86347e164c6e571c86dbf5b1535eae6b979fede6ed66b01e79ea33b7b

Vhash: 02503e0f7d1019z4hz1lz

Imphash: 51a8b4c9f41b0c0ca57db63e21505b0d

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Rook Ransomware - ноябрь 2021

NightSky Ransomware - январь 2022

Pandora Ransomware - март 2022

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Некоторые утечки на Tor-сайте вымогателей:

 

 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message + myMessage
 Write-up, Topic of Support
 * 

Added later: Quick revs: Pandora Ransomware

 Thanks: 
 MalwareHunterTeam, DarkTracer, Marius 'f0wL' Genheimer
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

CheersCrypt

Cheers Extortion Group

Cheers Hacking Team

Cheers Doxware

Cheers Ransomware

CheersCrypt Ransomware

(хакеры-вымогатели, доксеры, публикаторы) (первоисточник на русском)
Translation into English

Эти хакеры-вымогатели атакуют ресурсы бизнес-пользователей, похищают их данные, а затем требует выкуп, чтобы вернуть файлы, не опубликовав их для всеобщего обозрения. Оригинальное название группы-вымогателей: Cheers Hacking Team (CHT). 
---

Сайт "ID Ransomware" идентифицирует это как Cheers. 

Информация для идентификации

Активность этой группы хакеров-вымогателей началась с февраля 2022 г. и продолжалась после. 

Группа хакеров-вымогателей отправляет пострадавшей компании и её клиентам/партнерам персонифицированные сообщения, вместо общей для всех записки о выкупе. 

Пример записки: How To Restore Your Files.txt

Страницы сайта хакеров-вымогателей

На момент первичной подготовки статьи на сайте хакеров-вымогателей было 3 пресс-релиза. Среди них есть бельгийский госпиталь и две неназванные компании.  

Внимание! Новые элементы, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Вредоносные инструменты, которые используют хакеры-вымогатели, могут распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся доксингу:
Нет специального списка, все зависит от объекта нападения и конкретной цели. 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Инструменты группы: 

Хакерская группа может использовать учётные данные VPN для получения первоначального доступа к сети жертвы. Могут использоваться Cobalt Strike и AnyDesk или другое ПО для удаленного доступа, а после получения доступа инструменты повышения привилегий, в том числе Mimikatz или PowerShell для кражи файлов, содержащих данные Active Directory. 

Предполагается, что CheersCrypt связана с китайской хакерской группой Emperor Dragonfly, которая, часто переключается между семействами программ-вымогателей, чтобы избежать установления авторства.

Шифрование: 

В схеме шифрования используется пара, состоящая из открытого и закрытого ключей для получения секретного ключа (потоковое шифрование SOSEMANUK) и встраивания его в каждый зашифрованный файл. Закрытый ключ, используемый для создания секретного ключа, стирается, чтобы предотвратить восстановление.​

Сетевые подключения и связи:
Tor-URL: 

Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 Added later: Write-up, Write-Up

 Thanks: 
 MalwareHunterTeam, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.