BlackLock

BlackLock Ransomware

BlackLock Linux Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп, чтобы вернуть файлы. Если пострадавшие откажутся платить, то украденные данные будут слиты.  Оригинальное название: в записке не указано. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.41186
BitDefender -> Trojan.Generic.36893921
ESET-NOD32 -> A Variant Of WinGo/Filecoder.MO
Kaspersky -> HEUR:Trojan-Ransom.Win64.Generic
Malwarebytes -> Malware.AI.4072399573
Microsoft -> Trojan:Win32/Filecoder!MSR
Rising -> Ransom.Generic!8.E315 (CLOUD)
Tencent -> Win64.Trojan-Ransom.Generic.Qzfl
TrendMicro -> TROJ_GEN.R03BC0DK524
---

© Генеалогия: LostTrust >> El Dorado > BlackLock > BlackLock Linux

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя была найден во второй половине февраля 2025 г. Активность группы хакеров-вымогателей замечена с 2024 года. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

BlackLock Ransomware переименовывает каждый зашифрованный файл случайной строкой символов и добавляет к файлам случайные расширения. 

Записка с требованием выкупа называется: HOW_RETURN_YOUR_DATA.TXT

Содержание записки о выкупе:

Hello!

Your files have been stolen from your network and encrypted with a strong algorithm. We work for money and are not associated with politics. All you need to do is contact us and pay.

--- Our communication process:

1. You contact us.

1. We send you a list of files that were stolen.

2. We decrypt 1 file to confirm that our decryptor works.

3. We agree on the amount, which must be paid using BTC.

4. We delete your files, we give you a decryptor.

5. We give you a detailed report on how we compromised your company, and recommendations on how to avoid such situations in the future.

--- Client area (use this site to contact us):

Link for Tor Browser: hxxx://panela3eefdzfzxzxcsh***tzvjyd.onion/ddb34da5-dce4-4b46-8f7d-4674ab38be9d

>>> to begin the recovery process.

* In order to access the site, you will need Tor Browser,

you can download it from this link: hxxps://www.torproject.org/

--- Recommendations:

DO NOT RESET OR SHUTDOWN - files may be damaged.

DO NOT RENAME OR MOVE the encrypted and readme files.

DO NOT DELETE readme files.

--- Important:

If you refuse to pay or do not get in touch with us, we start publishing your files.

Еhe decryptor will be destroyed and the files will be published on our blog.

Blog: hxxx://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid.onion

Sincerely!

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Распространяется с 2024 года на русскоязычном форуме RAMP как RaaS. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW_RETURN_YOUR_DATA.TXT - название файла с требованием выкупа;
enc_windows_amd64.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://26ubgm3vvrjawkdyfhvl2d2nhq77nu3zsagbih4yy2zgau5uv5ivfgyd.onion/dd6a54ac101e46032344dd2cef5e32

Tor-URL: hxxx://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Информация о пострадавших на сайте вымогателей:

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: d1cd0d1ecf05b1c49c732e7070214676 

SHA-1: 966752f12e81ffa1322da91f861fb0ee0ee771e7 

SHA-256: 0622aed252556af50b834ae16392555e51d67b3a4c67a6836b98534a0d14d07d 

Vhash: 046066655d5d15541az28!z 

Imphash: f0ea7b7844bbc5bfa9bb32efdcea957c

---

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

MetaEncryptor Ransomware - с августа 2022

LostTrust Ransomware -  с сентября 2023

El Dorado Ransomware - с мая 2024
BlackLock Ransomware - с февраля 2025

BlackLock Ransomware для Linux - с марта 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 19 марта 2025: 

Сообщение >>

Версия для Linux.

Написан на языке GO. 

На файле написано: enc_linux_amd64.elf. 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 17a2f0bd0af19cecc108c5937e3054d0 

SHA-1: f439f4b1c1a7179bf5d2634d84342d413f360885 

SHA-256: 1da86aa04214111ec8b4a2f46e6450f41233da1110f0b32890d522285a2ae38b 

Vhash: 2ae4e8508310db9b5a868735969a533c

➤ Обнаружения:

DrWeb -> Linux.Encoder.568

BitDefender -> Trojan.Linux.GenericKD.43646

ESET-NOD32 -> Linux/Filecoder.EO

Microsoft -> Ransom:Linux/SAgnt!MTB

Rising -> Ransom.Agent/Linux!8.138F2 (CLOUD)

Tencent -> Linux.Trojan.Avi.Ymhl

TrendMicro -> Ransom.Linux.BLACKLOCK.THCOFBE

Вариант от 29 июня 2025: 

Сообщение >>

Расширение: .<random>

Пример расширения: .mcfcjuky

Записка: HOW_RETURN_YOUR_DATA.TXT

Tor-URL: 

4ozbomcjurd64vgeblkoqeqirvawi3dddswriw6qespscmequmqlshyd.onion

zdkexsh2e7yihw5uhg5hpsgq3dois2m5je7lzfagij2y6iw5ptl35gyd.onion

IOC: VT, IA

MD5: f392807da3ee1f3e9702ce5fa91d418d 

SHA-1: 267c2e01edebdccd5387bfa6def2255d3f239b48 

SHA-256: 57f7bfb5b37364563c03ed29228a43e44936edb4ea1f232b6c74c2ecd06cce1d 

Vhash: 046066655d5d15541az28!z 

Imphash: f0ea7b7844bbc5bfa9bb32efdcea957c

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.42501

BitDefender -> Trojan.Generic.38154808

ESET-NOD32 -> A Variant Of WinGo/Filecoder.MO

Malwarebytes -> Malware.AI.2857863496

Microsoft -> Trojan:Win32/Egairtigado!rfn

Rising -> Ransom.Generic!8.E315 (CLOUD)

TrendMicro -> Ransom.Win64.BLACKLOCK.THFCOBE

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 Added later: Write-up

 Thanks: 
 Shanholo, Gameel Ali, petik, pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

NailaoLocker

NailaoLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью  алгоритма AES-256-CTR, а затем требует связаться с вымогателями, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: в записке не указано, NailaoLocker дано исследователями. На файле написано: нет данных. Согласно данным исследователей из Orange, написан на C++, относительно прост и плохо спроектирован.

---
Обнаружения (файл не предоставлен):
DrWeb -> ***
BitDefender -> Gen:Variant.Cerbu.251658
ESET-NOD32 -> A Variant Of Win64/Filecoder.SZ
Kaspersky -> Trojan-Ransom.Win64.Agent.dxf
Malwarebytes -> Malware.AI.4284765157
Microsoft -> Trojan:Win32/Wacatac.A!ml
Rising -> Ransom.Agent!8.6B7 (CLOUD)

Symantec -> SONAR.RansomNailo!g1, Trojan Horse
Tencent -> Malware.Win32.Gencirc.10c0e368
TrendMicro -> TROJ_GEN.R023H0CBI25
---

© Генеалогия: родство выясняется >> NailaoLocker

Сайт "ID Ransomware" NailaoLocker идентифицирует с 7 августа 2025. 

Информация для идентификации

Активность этого крипто-вымогателя была в атаках на европейские организации здравоохранения в период с июня по октябрь 2024 года и продолжилась в начале 2025 г., т. к. вредоносная кампания нацелена на более широкую группу организаций по всему миру в различных секторах. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .locked

Записка с требованием выкупа называется: 
unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please.html

Содержание записки о выкупе:
см. на изображении. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

➤ Атаки использовали уязвимость Check Point Security Gateway CVE-2024-24919 для получения доступа к целевым сетям и развертывания вредоносных программ ShadowPad и PlugX — двух семейств, тесно связанных с китайскими государственными группами угроз.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Особенности NailaoLocker

➤ NailaoLocker не завершает процессы безопасности или запущенные службы, отсутствуют механизмы противодействия отладке и обхода "песочницы", а также не сканирует сетевые ресурсы.

Вредонос NailaoLocker внедряется в целевые системы посредством загрузки DLL (sensapi.dll) с использованием легитимного и подписанного исполняемого файла (usysdiag.exe). Загрузчик вредоносного ПО (NailaoLoader) проверяет среду, выполняя проверки адресов памяти, а затем расшифровывает основную полезную нагрузку (usysdiag.exe.dat) и загружает ее в память.

Затем злоумышленники провели сетевую разведку и горизонтальное перемещение в основном через RDP, пытаясь получить дополнительные привилегии. Было замечено, что злоумышленники вручную запускали легитимный двоичный файл logger.exe для загрузки вредоносной DLL logexts.dll. При запуске DLL копирует смежную зашифрованную полезную нагрузку (например, 0EEBB9B4.tmp) в раздел реестра Windows (при этом имя этого раздела связано с серийным номером тома системного диска).

Затем вредоносная нагрузка 0EEBB9B4.tmp удаляется злоумышленниками и в конечном итоге извлекается DLL из раздела реестра и внедряется в другой процесс. Наконец, создается служба или задача запуска для запуска logger.exe и поддержания устойчивости системы. 

После анализа исследователи смогли связать 0EEBB9B4.tmp с новой версией печально известного вредоносного ПО ShadowPad (при этом DLL выступает в качестве его загрузчика).

➤ NailaoLocker сначала проверяет, загружен ли sensapi.dll, затем удаляет его из памяти и с диска. Затем создает мьютекс Global\lockv7.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please_view_this_file_unlock_please.html - название файла с требованием выкупа;
unlock_please_view_this_file.html - название другого файла с требованием выкупа;

usysdiag.exe - легитимный файл, подписанный Beijing Huorong Network Technology Co., Ltd;

sensapi.dll - встроенный загрузчик;

usysdiag.exe.dat - обфусцированный файл NailaoLocker Ransomware.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
Global\lockv7

Сетевые подключения и связи:
Email: johncollinsy@proton.me
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 693b6237d77c206fe4d08f56f4fae293 

SHA-1: ba9beba6a9f02cea40a2ac0c37c76bfc204b3839 

SHA-256: e0d89af13acb3e3433f6923f09d4a1586815afbb6b6a01ae32da74dc81f43a99 

Vhash: 026056655d55655093z42z85nz34z1b7z 

Imphash: 4446805133cfda8429ed7a1eb37f297e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Write-up, Topic of Support
 ***

 Thanks: 
 Orange Cyberdefense, dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

PE32

PE32 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в $500-150000 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: Pe32-v4.1.1.vexe. Написан на языке программирования Rust.
---
Обнаружения:
DrWeb -> Trojan.Encoder.41661
BitDefender -> Gen:Variant.Tedy.711790
ESET-NOD32 -> Win64/Filecoder.SW
Kaspersky -> HEUR:Trojan-Ransom.Win64.Generic
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win64/Filecoder.PAQ!MTB
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.10c0fb51
TrendMicro -> TROJ_FRS.VSNTCD25
---

© Генеалогия: родство выясняется >> PE32

Сайт "ID Ransomware" PE32 пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в январе — мае 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .pe32s

Фактически используется составное расширение по шаблону: 

[filename].[ID].[extension].pe32s

Примеры зашифрованных файлов см. ниже:

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

USER: Armin

Greetings

Your files have been encrypted, and your sensitive data has been exfiltrated.

To unlock your files and prevent public disclosure of data a payment is required.

Please note that cost for file decryption and avoiding data publification is separate.

To establish trust and provide assurance, we offer the following:

A decryption test for a few small files (less than 1-2 MB) that do not contain valuable information.

Screenshot of other customers who have paid and received decryption. For larger payments you may also request information for individuals from your country who have successfully decrypted their data as proof.

Pricing:

Single servers: $700 - $7000

Companies and Multiple Computers: $10,000 to more than 2btc and more, depending on the data size and company.

Delaying contact will increase the cost and make it more difficult for you.

Please reach out to our client via Telegram: @decryptorsupport

in case of no answer:

Mail : bettercallarmin1@gmail.com

Судя по записке о выкупе, новый email-адрес может создаваться под каждую жертву, используя имя пользователя ПК. 


✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Подробности о шифровании от экспертов F6:  

Осуществляет шифрование файлов в 3 раунда, чтобы сначала максимально быстро заблокировать данные жертвы (1-й раунд), а затем – максимально усложнить возможность расшифровки и восстановления данных без оплаты выкупа.

При запуске PE32 Ransomware генерирует ключи шифрования AES и данных для получения одноразовых кодов (nonce). Массив ключей в зашифрованном виде содержится в файлах context.pe32c в корне каждого логического диска:

X:\PE32-KEY\context.pe32c

Каждый элемент массива (400 байт) содержит ключ AES (32 байта) и данные для получения "nonce" (368 байт). Ключ AES и данные для получения "nonce" шифруются отдельно.

Для шифрования ключей AES используется алгоритм, ставший ранее победителем конкурса NIST (National Institute of Standards and Technology) на разработку первого стандарта постквантовой криптографии. Данный стандарт получил название ML‑KEM (Module-Lattice-Based Key-Encapsulation Mechanism). Непосредственно в PE32 Ransomware используется алгоритм Kyber1024 (уровень безопасности NIST 5, то есть это почти AES-256). Он предназначен для генерации общего секретного ключа и его безопасного обмена между двумя сторонами. Утверждается, что алгоритмы стандарта ML‑KEM устойчивы к атакам с использованием квантовых технологий.

Данные для получения nonce (368 байт) шифруются с использованием алгоритма классической криптографии RSA-4096.

В файле PE32 Ransomware содержатся публичные ключи RSA-4096 (в формате PEM) и Kyber1024 (1568 байт).

Сообщения дописываются в файл отчета lock.pe32 в зашифрованном виде (AES‑256 CTR), для шифрования сообщений используются также случайно выбранные ключи из массива ключей.

Информация полностью в статье >>

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускаемые при шифровании папки и пути:

Windows

Program Files

AppData

C:\\Program Files\\WindowsApps

C:\\Program Files\\Internet Explorer

C:\\Program Files\\Windows Defender

C:\\Program Files\\Windows Mail

C:\\Program Files\\Windows Media Player

C:\\Program Files\\Windows Photo Viewer

C:\\Program Files\\Windows Portable Devices

C:\\Program Files\\WindowsPowerShell

C:\\Program Files\\Windows Defender Advanced Threat Protection

C:\\Program Files \(x86\)\\Common Files

C:\\Program Files \(x86\)\\WindowsApps

C:\\Program Files \(x86\)\\Internet Explorer

C:\\Program Files \(x86\)\\Windows Defender

C:\\Program Files \(x86\)\\Windows Mail

C:\\Program Files \(x86\)\\Windows Media Player

C:\\Program Files \(x86\)\\Windows Photo Viewer

C:\\Program Files \(x86\)\\Windows Portable Devices

C:\\Program Files \(x86\)\\WindowsPowerShell

C:\\Windows\\System32

C:\\Windows\\SysWOW64

C:\\Windows\\SysWOW64

C:\\Windows\\Fonts

C:\\Windows\\WinSxS

C:\\Windows\\Temp

C:\\Windows\\Logs

C:\\Windows\\servicing

C:\\Windows\\INF

C:\\Windows\\PolicyDefinitions

C:\\Windows\\SoftwareDistribution

C:\\Users\\.*?\\AppData\\Local\\Microsoft

C:\\Users\\.*?\\AppData\\Local\\Packages

C:\\Users\\.*?\\AppData\\LocalLow\\Microsoft

C:\\Users\\.*?\\AppData\\Roaming\\Microsoft

C:\\Users\\.*?\\AppData\\Local\\Temp

C:\\Users\\.*?\\AppData\\Local\\Microsoft\\Windows

Пропускаемые при шифровании файлы с расширениями:

.apk, .bat, .c32, .cmd, .com, .dll, .efi, .exe, .ico, .ini, .lnk, .mbr, .mui, .obj, .pe32c, .pe32f, .pe32s, .ps1, .ps1xml, .psd1, .psm1, .rdp, .sh, .sym, .sys

Файлы, связанные с этим Ransomware:
README.txt - записка о выкупе; 

С:\PE32-KEY\lock.pe32 - файл отчета; 

context.pe32c - название файла, в котором содержится массив ключей в зашифрованном виде;
Pe32-v4.1.1.vexe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

X:\PE32-KEY\context.pe32c

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Telegram-контакты: @decryptorsupport

@Qr_Ati

@Dmc_eze

@data_recovery2025

---

Email: bettercallarmin1@gmail.com

help.file@zohomail.eu

emmo.encrypt@onionmail.org

Datablack0068@cyberfear.com

Datablack0068@gmail.com

data.recovery@onionmail.org

---
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR 

MD5: bedf5eb89d3a15f5474759421aa49e93 

SHA-1: afb3eb9ae040f86dd8381cd54c7cac215beee85b 

SHA-256: e63f9a5b7d0b12c2b58fd9e9c40cb01c8d7cb7f4d70026c6eed871aa060a8c72 

Vhash: 026056655d15555013zb2z623z69z95z15zf7z 

Imphash: 34758d9a7c0a5abe65177cbb34ce9f64

Степень распространённости: средняя.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Другие образцы см. по ссылке:

github.com/f6-dfir/Ransomware/tree/main/PE32

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 F6
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

FXLocker

FXLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп в 0.6X BTC, чтобы вернуть файлы. Оригинальное название: FXLocker. На файле написано: sample.exe. Написан на языке программирования Python. 

---
Обнаружения:
DrWeb -> Python.Encoder.235
BitDefender -> Trojan.Agent.GOCH
ESET-NOD32 -> Python/Filecoder.ATJ
Kaspersky -> HEUR:Trojan-Ransom.Python.Agent.gen
Malwarebytes -> Agent.Spyware.Stealer.DDS
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> ***

Symantec -> Infostealer
Tencent -> Win32.Trojan-Ransom.Agent.Xmhl

TrendMicro -> TROJ_GEN.R002H09BJ25
---

© Генеалогия: родство выясняется >> FXLocker

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале февраля 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: *нет данных*.

Записка с требованием выкупа написана на экране блокировки: 

Содержание записки о выкупе:

[NOTICE]

Your system has been encrypted by FXLocker.

Please follow the payment instructions to recover your files.

[INSTRUCTIONS]

1. Payment amount: 0.69135 BTC

2. Bitcoin Address: 1FxABAd2

3. Payment Deadline: 2025-02-10

Contact Support with your Reference ID to obtain the decryption keys.

[INFORMATION]

Reference ID: F5XCCBUPRKGJ0***

[WARNINGS]

- Do not rename encrypted files; this can prevent decryption.

- Failing to complete payment within the deadline may lead to permanent data loss.

- Failing to complete payment within the deadline may lead to permanent data loss.

[CONTACT SUPPORT]

haxcn@proton.me, wikicn@proton.me

[NOTICE]

You have until 2025-02-10 to complete the payment. Failure to comply will result in the permanent loss of your files.

***

Перевод записки на русский язык:

[УВЕДОМЛЕНИЕ]

Ваша система зашифрована FXLocker.

Следуйте инструкциям по оплате, чтобы восстановить файлы.

[ИНСТРУКЦИИ]

1. Сумма платежа: 0.69135 BTC

2. Адрес Bitcoin: 1FxABAd2

3. Крайний срок оплаты: 2025-02-10

Свяжитесь со службой поддержки, указав свой Reference ID, чтобы получить ключи расшифровки.

[ИНФОРМАЦИЯ]

Идентификатор ссылки: F5XCCBUPRKGJ0***

[ПРЕДУПРЕЖДЕНИЯ]

- Не переименовывайте зашифрованные файлы; это может помешать расшифровке.

- Невыполнение платежа в установленные сроки может привести к необратимой потере данных.

- Невыполнение платежа в установленные сроки может привести к необратимой потере данных.

[СВЯЖИТЕСЬ СО СЛУЖБОЙ ПОДДЕРЖКИ]

haxcn@proton.me, wikicn@proton.me

[УВЕДОМЛЕНИЕ]

У вас есть время до 2025-02-10, чтобы завершить платеж. Несоблюдение приведет к безвозвратной потере ваших файлов.

***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
sample.exe - название вредоносного файла или случайное. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: haxcn@proton.me, wikich@proton.me
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, IA, TG 

MD5: d8889f10a8a0dda44817a2bfbd0ca237 

SHA-1: 8b7672496f45432a48b8d307e08855ca9e40da7b 

SHA-256: 1c716742fa1712562e2d6275a68a8d2e73bd910bff417072259bb164f2628863 

Vhash: 027066655d1555755048z6bnzefz 

Imphash: a06f302f71edd380da3d5bf4a6d94ebd

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.