Play Ransomware
Play Hand-Ransomware
Play Extortion Group
Variants: FinDom
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные на серверах компаний, организаций и частных лиц с помощью комбинации алгоритмов AES + RSA-4096, а затем оставляет текстовый файл с email-адресом, видимо для того, чтобы пострадавшие написали на него и узнали, как заплатить выкуп, чтобы вернуть файлы. Оригинальное название: Play Ransomware. На файле написано: нет данных.
---
Обнаружения (образец от 8 августа 2022):
DrWeb -> Trojan.Encoder.35793
BitDefender -> Gen:Variant.Ransom.PLAY.1
ESET-NOD32 -> A Variant Of Win32/Filecoder.PLAY.B
Kaspersky -> Trojan-Ransom.Win32.Play.i
Malwarebytes -> Ransom.Play
Microsoft -> Ransom:Win32/Play.E
Rising -> Ransom.Agent!8.6B7 (TFE:5:pvkKOIjHEBK)
Tencent -> Malware.Win32.Gencirc.10bdb306
TrendMicro -> Ransom.Win32.PLAYDE.YXCHJT
---
© Генеалогия: родство выясняется >> Play
Информация для идентификации
Активность этого крипто-вымогателя была в конце июня 2022 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Первые пострадавшие были из Германии. Далее были пострадавшие компании в Бельгии и других странах Европы, а также в США.
К зашифрованным файлам добавляется расширение: .play
Большие файлы шифруются дважды.
Записка с требованием выкупа не использовалась, вместо нее на пострадавшем компьютере оставлялся readme-файл с email-адресом вымогателей.
Содержание текстового файла:
gyeceeidia7y@gmx.com
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Перед тем как внедрить Play Ransomware в сети жертв, партнеры Play крадут конфиденциальные документы из взломанных систем и используют их, чтобы заставить жертв заплатить выкуп под угрозой публикации украденных данных на сайте банды в Даркнете. Для переговоров с пострадавшими используется только email вымогателей.
Большие файлы шифруются дважды.
Записка с требованием выкупа не использовалась, вместо нее на пострадавшем компьютере оставлялся readme-файл с email-адресом вымогателей.
Содержание текстового файла:
gyeceeidia7y@gmx.com
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Перед тем как внедрить Play Ransomware в сети жертв, партнеры Play крадут конфиденциальные документы из взломанных систем и используют их, чтобы заставить жертв заплатить выкуп под угрозой публикации украденных данных на сайте банды в Даркнете. Для переговоров с пострадавшими используется только email вымогателей.
➤ Play Ransomware перед шифрованием разбивает файл на 2, 3 или 5 фрагментов, в зависимости от размера файла, а затем шифрует каждый другой фрагмент.
Если пострадавшие компании или организации не платят выкуп в течении установленного срока выплаты (например, 1 неделя), то украденные персональные данные (включая личную информацию о гражданах, удостоверения личности, номера паспортов, финансовые документы и мн. др.) могут быть проданы или опубликованы на сайтах Даркнета.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и прочие файлы.
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и прочие файлы.
Также шифруются резервные файлы в синхронизированном облаке.
Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: gyeceeidia7y@gmx.com
BTC: -
Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: gyeceeidia7y@gmx.com
BTC: -
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
MD5: 223eff1610b432a1f1aa06c60bd7b9a6
SHA-1: 14177730443c65aefeeda3162b324fdedf9cf9e0
SHA-256: 006ae41910887f0811a3ba2868ef9576bbd265216554850112319af878f06e55
Vhash: 015046655d156az4-z
Imphash: bfaffd974eb97f13ae5b4b98aa20c81e
Степень распространённости: высокая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Вариант октября 2024:
IOC: VT: MD5: 425d05660176c0b9f1db63948af825fe
Обнаружения:
DrWeb -> Trojan.Encoder.36095
BitDefender -> Gen:Variant.Ransom.PLAY.5
ESET-NOD32 -> A Variant Of Win32/Filecoder.PLAY.B
Kaspersky -> HEUR:Trojan-Ransom.Win32.Play.gen
Microsoft -> Ransom:Win32/Play.D
Rising -> Ransom.Play!8.166FA (TFE:5:4FGIOCKkokJ)
Symantec -> Ransom.PlayCrypt!g2
TrendMicro -> Ransom.Win32.PLAYDE.SMYPCKE
Вариант от 19 ноября 2022:
Email: ***@gmx.de
Tor-URLs:
mbrlkbtq5jonaqkurjwmxftytyn2ethqvbxfu4rgjbkkknndqwae6byd.onion
k7kg3jqxang3wh7hnmaiokchk7qoebupfgoik6rha6mjpzwupwtj25yd.onion
Информация от 6 декабря 2022:
Хакерско-вымогательская группа атаковала и взломала серверы технологического центра Digipolis в Антверпене, отвечающего за различные городские службы и установила срок в 1 неделю для выплаты выкупа. Кажется специалисты Digipolis смогли восстановить работу центра без уплаты выкупа.
Скриншот с сайта Play Ransomware group, свидетельствует о масштабах атак этой группы. Пострадавшие предпочитают замалчивать об инцидентах.
Предполагаемое родство.
Расширение: .FinDom
Записка: OPEN.txt
Email: findomswitch@fastmail.pw
Содержание записки: только email-адрес вымогателей.
Email: findomswitch@fastmail.pw
Содержание записки: только email-адрес вымогателей.
=== 2023 ===
Вариант января 2023:
IOC: VT: MD5: 95a6135b58973e6a04c4e22cf90bc644
Обнаружения:
DrWeb -> Trojan.Encoder.37278
BitDefender -> Gen:Variant.Ransom.Play.10
ESET-NOD32 -> A Variant Of Win32/Filecoder.PLAY.B
Microsoft -> Ransom:Win32/Play.PAA!MTB
Rising -> Ransom.Play!8.166FA (TFE:5:3RJVXoeHdQT)
Symantec -> Ransom.PlayCrypt!g2
TrendMicro -> Ransom.Win32.PLAYDE.YADA5T
Информация от 9 февраля 2023:
Хакерско-вымогательская группа 23 января 2023 атаковала и взломала серверы производителя сетевого оборудования A10 Networks (штат Калифорния, США). Группа вымогателей Play добавила A10 Networks на свой сайт, угрожая утечкой файлов, которые она украла во время вторжения.
Информация от 19 апреля 2023:
Хакерско-вымогательская группа теперь использует инструменты Grixba и VSS Copying Tool для более продвинутых атак.
Инструмент Grixba, предназначенный для перечисления пользователей и компьютеров в домене, используется злоумышленниками для режима сетевого сканирования и кражи информации, в котором используются WMI, WinRM, удалённый реестр и удалённые службы, а также для определения ПО, работающего на сетевых устройствах. Grixba проверяет наличие антивирусных программ и программ безопасности, наборов EDR, инструментов резервного копирования и инструментов удаленного администрирования, а также офисных приложений и DirectX, что позволяет определить тип сканируемого компьютера. Все собранные данные сохраняет в файлах CSV, сжимает их в ZIP-архив, а затем эксфильтрирует на C2-сервер злоумышленников. Эта информация помогает им планировать следующие шаги атаки.
Инструмент VSS Copying Tool позволяет злоумышленникам взаимодействовать со службой теневого копирования томов (VSS) через вызовы API с использованием связанной библиотеки AlphaVSS.NET и похищать файлы из существующих теневых копий томов, даже если эти файлы используются приложениями.
Декабрь 2023
ФБР сообщило, что в период с июня 2022 года по октябрь 2023 года банда, стоящая за Play Ransomware, взломала около 300 организаций по всему миру, некоторые из которых являются объектами критической инфраструктуры.
Вариант мая 2024:
IOC: VT: MD5: f088b0524afae3a92f571c4cc390d064
Обнаружения:
DrWeb -> Trojan.Encoder.38718
BitDefender -> Gen:Variant.Ransom.Play.34
ESET-NOD32 -> A Variant Of Win32/Filecoder.PLAY.B
Microsoft -> Ransom:Win32/Play.ZA!MTB
Rising -> Ransom.PLAY!8.1993D (TFE:5:e7Sxs7K4uPP)
Symantec -> Ransom.PlayCrypt!g2
TrendMicro -> Ransom.Win32.PLAYDE.YXEFMT
Вариант февраля 2025:
IOC: VT: MD5: 75367b27129a302e5ef5930a2c9699c0
Обнаружения:
DrWeb -> Trojan.Encoder.41660
BitDefender -> Trojan.GenericKD.75870848
ESET-NOD32 -> A Variant Of Win32/Filecoder.PLAY.C
Kaspersky -> HEUR:Trojan-Ransom.Win32.Play.gen
Microsoft -> Ransom:Win32/Play.D
Rising -> Ransom.Play!8.166FA (TFE:5:4FGIOCKkokJ)
Symantec -> Trojan.Whispergate
TrendMicro -> Ransom_Play.R002C0DEK25
Июнь 2025
ФБР сообщило, что банда, стоящая за Play Ransomware, взломала 900 жертв, включая критически важные организации. В руководстве, выпущенном ФБР, CISA и Австралийским центром кибербезопасности, службам безопасности рекомендуется уделять первоочередное внимание поддержанию своих систем, ПО и прошивки в актуальном состоянии, чтобы снизить вероятность использования неисправленных уязвимостей при атаках с использованием Play Ransomware.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***
Thanks: quietman7 Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
