VerdaCrypt

VerdaCrypt Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать вымогателям, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: VerdaCrypt. На файле написано: Verdacrypt-Z.ps1
---
Обнаружения:
DrWeb -> PowerShell.Encoder.39
BitDefender -> Generic.Ransom.PWS.42AC0E14
ESET-NOD32 -> PowerShell/Filecoder.DD
Kaspersky -> HEUR:Trojan-Ransom.PowerShell.Agent.gen
Malwarebytes -> ***
Microsoft -> Ransom:PowerShell/FileCoder.YMA!ams
Rising -> Ransom.Agent/PS!8.113B7 (TOPIS:E0:lnyiZA3kgcK)
Tencent -> Win32.Trojan-Ransom.Agent.Dflw
TrendMicro -> ***
---

© Генеалогия: родство выясняется >> VerdaCrypt

Сайт "ID Ransomware" VerdaCrypt пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале апреля 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .verdant

Записка с требованием выкупа называется: !!!READ_ME!!!.txt

Содержание записки о выкупе:

INTRUSION PROTOCOL: VERDACRYPT - INITIATED.

Your critical infrastructure has suffered a catastrophic security event. A sophisticated cryptoviral payload, designated VerdaCrypt, has successfully breached your system’s perimeter and executed a multi-layered encryption cascade. All sensitive data, including but not limited to proprietary documents, personal archives, multimedia assets, and databases, are now rendered cryptographically inert and irretrievable without our intervention.

ONTOLOGICAL DILEMMA: DATA SOVEREIGNTY & THE TRANSCENDENCE OF VALUE.

Consider this not merely an act of digital extortion, but a stark ontological reassessment of your data's intrinsic worth. In this hyper-connected, late-capitalist paradigm, information is the ultimate commodity. You have operated under the illusion of control, hoarding digital wealth without acknowledging its inherent precarity. We are the catalysts of disruption, forcing a necessary reckoning with the ephemeral nature of digital sovereignty. Your data, now under our dominion, will only regain utility through a transactional exchange – a tribute to its true, albeit previously unacknowledged, value.

RECOVERY PROCEDURE: THE PATH TO DIGITAL REBIRTH.

While your current digital state is one of enforced entropy, a path to restoration exists. We possess the asymmetric decryption keys necessary to reverse the algorithmic entropy we have imposed. However, access to this vital instrument is contingent upon your adherence to the following directives:

1. SYSTEMIC QUIESCENCE MANDATORY: Cease all unauthorized remediation attempts. Any interference with the encrypted file system may induce irreversible data corruption and invalidate any potential for decryption. Further, any attempts at forensic analysis or network tracing will be met with escalated countermeasures.

2. SECURE CHANNEL ESTABLISHMENT VIA PROTONMAIL: Initiate encrypted communication through the Protonmail platform. Contact us at: `dendrogaster_88095@protonmail.com`. Utilize a separate, uncompromised device for this communication.

3. FINANCIAL TRANSCENDENCE PROTOCOL: Prepare for a financial exchange commensurate with the value you ascribe to your compromised data. Detailed payment instructions, including the precise Bitcoin (BTC) quantum required for decryption key acquisition, will be provided upon initial contact. Be advised: the value proposition is dynamic and subject to escalation based on temporal delays and perceived resistance.

CONSEQUENCES OF NON-COMPLIANCE: DIGITAL OBLITERATION.

Failure to adhere to these directives will result in the permanent cryptographic lockdown of your data assets. Furthermore, depending on the perceived recalcitrance and value of the exfiltrated data, we may initiate a phased data dissemination protocol, exposing your proprietary information to public and competitive vectors. Your digital legacy hangs in the balance.

VerdaCrypt - Kugutsushi subdivision.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Для атаки и запуска шифрования использутся технологии Microsoft: 

скрипты командной строки (CMD, BAT), 

скрипты PowerShell, 

файлы сценариев Windows (WSF).

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

- документы: 

.csv, .doc, .docm, .docx, .dot, .dotx, .epub, .key, .md, .mobi, .numbers, .odp, .ods, .odt, .pages, .pdf, .pot, .ppsm, .ppt, .pptm, .pptx, .rtf, .tex, .txt, .wpd, .xls, .xlsb, .xlsm, .xlsx, 

- медиа-файлы: 

.aac, .ai, .arw, .avi, .bmp, .cr2, .eps, .flac, .flv, .gif, .heic, .indd, .jpeg, .jpg, .m4a, .m4v, .mkv, .mov, .mp3, .mp4, .mpeg, .nef, .ogg, .png, .psd, .svg, .tiff, .wav, .webm, .webp, .wma, .wmv, 

- архивы:

.7z, .bz2, .cab, .deb, .dmg, .gz, .iso, .lz, .lzh, .lzma, .pkg, .rar, .rpm, .tar, .xz, .z, .zip, 

- разработка: 

.bat, .cfg, .cmd, .conf, .cpp, .cs, .css, .dart, .env, .go, .h, .html, .inf, .ini, .java, .js, .json, .kt, .lua, .m, .php, .pl, .ps1, .py, .rb, .reg, .scss, .sh, .swift, .toml, .ts, .vbs, .xml, .yml, 

- бэкапы и файлы системы: 

.bac, .bak, .bkf, .dmp, .eml, .emlx, .gho, .lnk, .log, .msg, .oft, .old, .ost, .ova, .ovf, .pst, .tmp, .url, .vdi, .vhd, .vhdx, .vmdk, 

- базы данных: 

.accdb,  .db,  .dbf,  .mdb,  .mdf,  .ndf, .sql,  .sqlite, 

- специализированные форматы:

.cad, .crdownload, .dwg, .dxf, .game, .iges, .minecraft, .part, .sav, .slot, .step, .stl, .torrent, .unitypackage, 

- шрифты и дизайн-файлы: 

.ai, .otf, .ps, .sketch, .ttf, .woff, .woff2, .xd,

- виртуализация и контейнеры:

.dockerfile, .vagrant, .vbox, .vmcx, .vmx, .yaml,

- конфигурация и шаблоны:

.config, .manifest, .props, .settings, .template, 

Файлы, связанные с этим Ransomware:
!!!READ_ME!!!.txt - название файла с требованием выкупа;
Verdacrypt-Z.ps1 - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: dendrogaster_88095@protonmail.com
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: 036dfe5e4ab2fd9b0446e08c7bea9210 

SHA-1: 4a9b6ebfc0e75d9d42d8458b48c948979fcdcad6 

SHA-256: a1ec0e24579de82840b019831252d73784f4ea5c4c16461103176bcc40cc1376 

Vhash: 0c99549461b999c259ab955ba3e28b8d

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PCrisk, petik
 Andrew Ivanov (article author)
 Intezer
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

HexaCrypt

HexaCrypt Ransomware

Variants: Qilra, Lyrix

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп 450$ в BTC, чтобы вернуть файлы. Оригинальное название: HexaCrypt. На файле написано: Encryptor.exe. Написан на языке программирования Python. 
---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> Python/Filecoder.ASO
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.Agent!8.6B7 (CLOUD)

Symantec -> Trojan.Gen.MBT

Tencent -> Malware.Win32.Gencirc.146dc99a
TrendMicro -> ***
---

© Генеалогия: предыдущие Python-based >> HexaCrypt > Qilra, Lyrix 

Сайт "ID Ransomware" HexaCrypt пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была с начала апреля 2025 года и продолжилась в мае 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .<random>

Пример такого расширения: .5s48uq85

Записка с требованием выкупа называется: 5s48uq85.READ_ME.txt

Содержание записки о выкупе:

All of your important files have been encrypted and stolen and only we can decrypt your files.

If you refuse to cooperate, your decryption software will be permanently deleted, and your stolen files will be published publicly.

Send 450$ worth of btc to this bitcoin wallet:

bc1qgngtzxgt3vcgx7andf12temn3vt4unf51mcqkj

contact us:

hexacryptsupport@proton.me

How Can You Trust Us?

If we do not provide the decryption tool after payment, no one will ever trust us again.

We rely on our reputation.

To prove we can decrypt your files, you can send us 1 encrypted file.

You have 72 hours to pay and contact us.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
5s48uq85.READ_ME.txt - название файла с требованием выкупа;

5s48uq85.key - специальный файл с ключом; 
Encryptor.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: hexacryptsupport@proton.me
BTC: bc1qgngtzxgt3vcgx7andf12temn3vt4unf51mcqkj

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 8b4093d5ef20a3d7af5373e26ee4476a 

SHA-1: ad5560464e835e1ca1d7315cb81dc474c21ebe1f 

SHA-256: 02d55ad4a7e9e85cdbcb5607f22c9efc7f8002d574865b5aa6e52ba125645292 

Vhash: 018076655d155d0555504013z3006dmz1cfz 

Imphash: 965e162fe6366ee377aa9bc80bdd5c65

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 16 апреля 2025:

Сообщение >>

Доп. название: Qilra Ransomware

Расширение: .qilra

Записка: RESTORE-MY-FILES.TXT

Файл: Encryptor.exe

IOC: VT, IA, TG

MD5: 4c07281ece66837c62f8fabb90d3ccf3 

SHA-1: 8f3417fe23ccc425e9d8a5016cf2008f5111b086 

SHA-256: ad8fe4b7ffc6e6109fc5da540bf3a84819288b186a8bbb383405ba384a6d8aba 

Vhash: 027076655d155d0555504013z3006dmz1cfz 

Imphash: 965e162fe6366ee377aa9bc80bdd5c65

---

Обнаружения: 

DrWeb -> Python.Encoder.242

BitDefender -> Gen:Variant.Ransom.Qilra.1

ESET-NOD32 -> A Variant Of Generik.GGJIXWZ

Kaspersky -> Trojan-Ransom.Win32.Encoder.acun

Malwarebytes -> Ransom.Filecoder.Python

Microsoft -> Trojan:Win32/Egairtigado!rfn

Tencent -> Win32.Trojan-Ransom.Encoder.Uimw

TrendMicro -> TROJ_GEN.R002H0CDP25

Вариант от 30 апреля 2025:

Доп. название: Lyrix Ransomware

Сообщение >>

Расширение: .<random>

Пример расширения: .JjYuSmWeQQ

Записка: README.txt

Email: TDVP7boZDZDE4GYWA3qW@protonmail.com

Файл: Encryptor.exe

IOC: TV, IA, TG

MD5: 72a8f2c6e5628f5e8e3c4dc7dcdb93cb 

SHA-1: 2f45c203896790be01b132b0e3d5c5c5c27f0bc4 

SHA-256: 77706303f801496d82f83189beff412d83a362f017cadecc7a3e349a699ce458 

Vhash: 027076655d155d05155048z6dnzefz 

Imphash: 33742414196e45b8b306a928e178f844

---

Обнаружения: 

DrWeb -> Trojan.Encoder.42101

BitDefender -> QD:Trojan.Astraea.9791D120A4

ESET-NOD32 -> Python/Filecoder.AYP

Kaspersky -> Trojan-Ransom.Win32.Encoder.acyc

Malwarebytes -> Ransom.FileCryptor

Microsoft -> Trojan:Win32/Egairtigado!rfn

Tencent -> Win32.Trojan-Ransom.Encoder.Pqil

TrendMicro -> TROJ_GEN.R002H09E625

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Nitrogen

Nitrogen Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: Nitrogen. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.41885, Trojan.Siggen31.25741
BitDefender -> Generic.Trojan.Havokiz.Marte.E.0934A0AB, Generic.Trojan.Havokiz.Marte.E.E44AFFA6
ESET-NOD32 -> A Variant Of Win64/Filecoder.Nitrogen.B, A Variant Of Win64/Filecoder.Nitrogen.A
Kaspersky -> HEUR:Trojan-Ransom.Win64.Generic, Trojan-Ransom.Win64.Agent.dvv
Malwarebytes -> Ransom.Nitrogen, Ransom.FileCryptor
Microsoft -> Trojan:Win64/NightHawk.A!MTB
Rising -> Ransom.Nitrogen!8.1B6EE (TFE:5:1NY***), Ransom.Nitrogen!8.1B6EE (TFE:5:t0L***)
Tencent -> Malware.Win32.Gencirc.146289f3, Malware.Win32.Gencirc.10c057e7
TrendMicro -> TROJ_GEN.R002H01D125, Ransom.Win64.EBANUL.SMYXEF2
---

© Генеалогия: родство выясняется >> Nitrogen

Сайт "ID Ransomware" Nitrogen идентифицирует как Nitrogen Group с 20 августа 2025. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в начале апреля 2025 г. Ориентирован на финансовый сектор и англоязычных пользователей, может распространяться по всему миру. По данным, собранным специалистами AnyRun и Symantec, ранняя активность была уже в сентябре 2024 и продолжилась с января 2025. 

К зашифрованным файлам добавляется расширение: .NBA

Записка с требованием выкупа называется: readme.txt

Содержание записки о выкупе:

Nitrogen welcome you!

Take this seriously, this is not a joke! Your company network are encrypted and your data has been stolen and downloaded to

our servers. Ignoring this message will result in all your data being published on our blog:

hxxx://nitrogenczslprh3xyw6lh5xyjvmsz7ciljoqxxknd7uymkfetfhgvqd.onion

This problem can be solved:

1. Your network and data can will be restored.

2. Your data is stolen and stored on our server, after receive payment it will be completely removed from our servers.

3. No one is aware about the data leak from your company except you.

If you believe you can handle without us and decrypting your servers and data using some IT Solution from third-party

specialists? They will only make significant damage to all of your data; every encrypted file will be corrupted forever. Only

our Decryption Tool will make decryption guaranteed. Don't go to recovery companies, they are essentially just middlemen who

will make money off you.

If you decide not to negotiate with us and find another solution.

We will make huge damage to your business by using all of our experience to make your partners, clients, employees and whoever

cooperates with your company know about this accident and stop any partnership with you. As a result, You will suffer great

losses and you will must to pay a penalty to the state and to compensate for lawsuits against your company. Also in case of

disclosure of information about a cyber attack and theft of confidential data of your company your assets may fall and it will

cost you several times more expensive instead agreeing with us.

Want to go to Government for protection?

Your address them for help will only make the situation worse. They will try to prevent you from negotiating with us, because

the negotiations will make them look weak and incompetent. After the incident report is handed over to the government

department, you receive get a penalty for this accident and leak personal data. This will be a huge amount, you can read more

about the GDRP legislation: https://en.wikipedia.org/wiki/General_Data_Protection_Regulation/

In this situation you will not be winners anyway.

So lets get straight to the point.

***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускает и не шифрует файлы в следующих директориях: 

$Recycle.Bin, $RECYCLE.BIN, winnt, temp, tmp, thumb, System volume information, Boots, Windows, Trend Micro, perflogs

Пропускает и не шифрует файлы со следующими расширениями: 

.bat, .dll, .exe, .lnk, .msi, .sys

Пропускает и не шифрует файлы: 

readme.txt 

NBA_LOG.txt 

Файлы, связанные с этим Ransomware:
readme.txt - название файла с требованием выкупа;

NBA_LOG.txt - файл, создаваемый вредоносной программой; 
Globalmedia.exe, program.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
nvxkjcv7yxctvgsdfjhv6esdvsx

См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: nitrogenczslprh3xyw6lh5xyjvmsz7ciljoqxxknd7uymkfetfhgvqd.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 3139c8e0d0dd9683ebfecdb2e4f1b6bb 

SHA-1: 9d8189c1d66154b5f01b307748ba47ea589f91fc 

SHA-256: e6a498b89aa04d7c25cbfa96599a4cd9bdcc79e73bf7b09906e5ca85bda2bff6 

Vhash: 0160b76d1555555c0d1d10a8z4c491z2bz1021z2fz 

Imphash: f7e43e0de1643f36b9466c5cecaec952

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: b580be9e58374b7c3a1e91922e982d3b 

SHA-1: bcb9455f82f17483a625e61b3cb52aa20835dc6e 

SHA-256: 55f3725ebe01ea19ca14ab14d747a6975f9a6064ca71345219a14c47c18c88be 

Vhash: 0160b76d1555655c0d5d10a8z5f671z2bz1021z3fz 

Imphash: eed398c0d818ec981987c713eb811fec

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri, petik, AnyRun
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

RALord

RALord Ransomware

RA Lord Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует связаться с вымогателями через сайт в сети TOR, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: RALord, указано в записке. Написан на языке программирования Rust. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.41858
BitDefender -> Trojan.GenericKD.76134943
ESET-NOD32 -> A Variant Of Win64/Filecoder.UI
Kaspersky -> Trojan-Ransom.Win64.Agent.dyk
Malwarebytes -> Ransom.RALord
Microsoft -> Trojan:Win64/RALord.SACR!MTB
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Zmhl
TrendMicro -> Ransom.Win64.RALORD.THCBFBE
---

© Генеалогия: родство выясняется >> RALord

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце марта 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .RALord
 
Записка с требованием выкупа называется по шаблону: README-<random_string>.txt

Примеры: 

README-HB0bIFAoVfPN.txt

README-vuy2vCrkvO1y.txt

Содержание записки о выкупе:

--- RALord ransomware ---

-> Hello , without any problems , if you see this Readme its mean you under controll by RLord ransomware , the data has been stolen and everything done , but

-> you can recover the files by contact us and pay the ransom , the data taken from this device or network have crenditals and your systeminfo too , without talk about files

-> also , we will provide report with hack operation and how to fix errors and up your security

»> contact us here :

-> qtoxID: 0C8E5B45C57AE***

»> important notes :

-> please do not touch the files becouse we can't decrypt it if you touch it

-> please contact us today becouse the leak operation should start

-> in nigotable please make sure to accept our rules, its easy

>>> our websites :

-> mirror 1 : ralord3htj7v2dkavss2hjzviviwgsf4anfdnihn5qcjl6eb5if3cuqd.onion

-> mirror 2 : ralordqe33mpufkpsr6zkdatktlu3t2uei4ught3sitxgtzfmqmbsuyd.onion

-> mirror 3 : ralordt7gywtkkkkq2suldao6mpibsb7cpjvdfezpzwgltyj21aiuuid.onion

-> to enter this URLs you need to download tor : https://www.torproject.org/download/

--- RALord ransomware ---

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README-<random_string>.txt - название файла с требованием выкупа;
google.exe, updater.exe - названия вредоносных файлов. 

Скриншот из кода RALord Ransomware:

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Program Files\Google3968_50907878\bin\updater.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL:

hxxx://ralord3htj7v2dkavss2hjzviviwgsf4anfdnihn5qcjl6eb5if3cuqd.onion

hxxx://ralordqe33mpufkpsr6zkdatktlu3t2uei4ught3sitxgtzfmqmbsuyd.onion

hxxx://ralordt7gywtkkkkq2suldao6mpibsb7cpjvdfezpzwgltyj2laiuuid.onion

qTOX: 

8E9A6195A769FE7115F087C61D75CF32874C339B3AB0947D07480C9A8A12DA5009151BE6A51F

0C8E5B45C57AE244E9C904C5BC74F73306937469D9CEA22541CA69AC162B8D42A20F4C0382AC

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: be15f62d14d1cbe2aecce8396f4c6289 

SHA-1: e9cced71d31937d75edac3fceee1d21e46cd5351 

SHA-256: 456b9adaabae9f3dce2207aa71410987f0a571cd8c11f2e7b41468501a863606 

Vhash: 035056655d15555018z383z3@z 

Imphash: e2137755f1a3df73f14b0df970d5dc94

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 Gameel Ali, S!Ri, dnwls0719
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Nemesis-888

Nemesis-888 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью  алгоритма AES-256 (режим CBC), а затем требует написать на email вымогателей, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: в записке не указано. На файле написано: svchost.dll. В некоторых случаях файлы можно расшифровать. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.41867
BitDefender -> Gen:Variant.Lazy.610044
ESET-NOD32 -> A Variant Of Win64/Filecoder.UG
Kaspersky -> Trojan-Ransom.Win32.Agent.bcdg
Malwarebytes -> Trojan.Crypt.Generic
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan-Ransom.Agent.Jmnw
TrendMicro -> TROJ_GEN.R002H09CL25
---

© Генеалогия: родство выясняется >> Nemesis-888

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале-середине марта 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. На момент написания статьи ничего неизвестно о распространении. 

К зашифрованным файлам добавляется расширение: .888

Пример зашифрованного файла и текст в нем: 

 

Записка с требованием выкупа называется: !RESTORE_FILES!.txt

Содержание записки о выкупе:

+----------------------------------------------------------------------------+

|   !!!ALL YOUR FILES ARE ENCRYPTED, AS A RESULT OF A BREACH IN SECURITY!!!  |

+----------------------------------------------------------------------------+

No worries - you can get them back!

It's impossible to decrypt without contacting us.

+----------------------------------------------------------------------------+

|   !!!DON'T TRY TO CHANGE ENCRYPTED FILES!!!                             |

|   !!!DON'T RENAME ENCRYPTED FILES!!!                                         |

|   !!!DON'T USE ADDITIONAL RECOVERY SOFTWARE!!!                      |

|   !!!IT WILL MAKE THEM IMPOSSIBLE TO DECRYPT!!!                       |

+----------------------------------------------------------------------------+

How to return all your data back in safe:

1. Copy and sent us your KEY.

2. We can decrypt 2 small files, no databases (.jpg, .txt, .doc, ets.. (up to 3mb)) as your warranty.

3. After payment, you will receive a special software for decryption.

--------------------------------------------------------------------------------------------

KEY: P/f/VlNzAE255D0071***

--------------------------------------------------------------------------------------------

EMAILS:

nemesis@888recover.4wrd.cc

nemesissupport@firemail.cc

Zero cheats, all integrity.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускает, не шифрует файлы в следующих директориях: 

ProgramData

Microsoft

Program Files(x86)

Microsoft.

Roaming\\Microsoft

AppData\\Local\\Temp

\\Windows\\System32

Пропускает, не шифрует следующие файлы: 

svchost.exe, bootmgr, bootmgr.efi, bootmgr.efi.mui, bootmgr.exe, bootmgr.exe.mui, img___XXX.jpg, !RESTORE_FILES!.txt

Файлы, связанные с этим Ransomware:
!RESTORE_FILES!.txt - название файла с требованием выкупа;

svchost.pdb - название файла проекта вредоносного файла;

img___XXX.jpg - некий файл изображения; 
svchost.dll -> svchost.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: nemesis@888recover.4wrd.cc, nemesissupport@firemail.cc
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR 

MD5: 5315bdbf85ad2b3bb13ae8ee62489f7f 

SHA-1: 8b0e4650f1a7080b78066a61152e571ca8b6816b 

SHA-256: : dee0fde2d096c79e138890f958b9440e87cce38504b654a97de50bb7969a9c98 

Vhash: 026086666c056d15651550a8z9d7z7uz1 

Imphash: bc942efe47009b1887e57410405ef4d1

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, rivitna
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.