Vatican

Vatican Ransomware

VaticanRansomware Ransomware 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем предлагает выполнить требование, указанное в записке, чтобы получить возможность расшифровать файлы. Оригинальное название: VaticanRansomware. Написан на языке  программирования Python. 
---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> Python/Filecoder.BDN
Kaspersky -> Trojan-Ransom.Win32.Agent.bchj / Trojan-Ransom.Win32.GenericCryptor.lul
Microsoft -> Trojan:Win32/Yomal!rfn
Tencent -> Win32.Trojan-Ransom.Agent.Ddhl / Win32.Trojan-Ransom.Genericcryptor.Usmw
TrendMicro -> TROJ_GEN.R002H01G925
---

© Генеалогия: родство выясняется >> Vatican

Сайт "ID Ransomware" Vatican пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на разноязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .POPE

Записка с требованием выкупа написана на экране блокировки, где также есть переключатель языков: 

Содержание записки о выкупе:

Your VaticanRansomwere

Your files have been encrypted by VaticanRansomwere!

The only way to redeem your data is by acquiring the Holy Decryption Key from the Vatican.

To obtain this sacred key, you must offer exactly 30 silver coins (denarii) as tribute.

Send your offering to:

Piazza San Pietro

00120 Vatican City

After the penance is received, click 'Check Payment' to receive Holy Decryption Key.

Remember that this payment is optional. You are not forced to this, but if you refuse, you will be excluded from Christianity and your files lost in the deepest pits of Hell.

Do not delay in purchasing the key, for on a certain day you won't be able to check your payment and receive Holy Decryption Key even if you pay.

"But of that day and hour no one knows, not even the angels in heaven, nor the Son, but only the Fater." (Matthew 24:36)

Перевод на русский язык: 

Ваш VaticanRansomwere

Ваши файлы зашифрованы VaticanRansomwere!

Единственный способ восстановить ваши данные — получить Святой ключ дешифрования в Ватикане.

Чтобы получить этот священный ключ, необходимо пожертвовать ровно 30 серебряных монет (динариев) в качестве дани.

Отправьте своё пожертвование по адресу:

Площадь Сан-Пьетро

00120 Ватикан

После получения покаяния нажмите 'Проверить платёж', чтобы получить Святой ключ дешифрования.

Помните, что этот платёж необязателен. Вас никто не принуждает к этому, но если вы откажетесь, вы будете отлучены от христианства, а ваши файлы будут затеряны в самых глубоких глубинах ада.

Не откладывайте покупку ключа, ибо в определённый день вы не сможете проверить платёж и получить Святой ключ дешифрования, даже если заплатите.

"О дне же том и часе никто не знает, ни Ангелы небесные, ни Сын, а только Отец". (Матфея 24:36)

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 7b59c3a7182d97715ba2be9c8d54905d 

SHA-1: 1e7f5494d024587a1d7b87f6e3b9f6319cebcc3f 

SHA-256: 0e34d74e5bd4694f9deaa223d3f9a448f0618eebcf6d81114d3047d65836c967 

Vhash: 037066655d155575504013z3006bmz1cfz 

Imphash: 72c4e339b7af8ab1ed2eb3821c98713a

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 600355d8aae48db9c49229c0d2ba3eba 

SHA-1: 8e647a52c37f8fcc8cb0a205d5540b520d7231de 

SHA-256: e8e4989a17e768dd7c33f999ab2394be438da7bb0106cd850b2e5ffcb3cfff51 

Vhash: 037066655d155555504013z3006bmz1cfz 

Imphash: 72c4e339b7af8ab1ed2eb3821c98713a

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri, PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Sinobi

Sinobi Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями через чат на сайте в сети Tor, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: Sinobi. Распространение: Sinobi Group.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42370
BitDefender -> Gen:Variant.Mikey.178866
ESET-NOD32 -> A Variant Of Win64/Filecoder.XI
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Lynx
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.IncRansom!1.12794 (CLASSIC)
Tencent -> Win32.Trojan-Ransom.Generic.Uimw
TrendMicro -> Trojan.Win32.VSX.PE04C9f
---

© Генеалогия: Lynx >> Sinobi

Сайт "ID Ransomware"  идентифицирует Sinobi с 27 ноября 2025. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .SINOBI


Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

Good afternoon, we are Sinobi Group.

As you can see you have been attacked by us! We offer you to make a deal with us. all you need to do is contact us by following the instructions below. 

We are not politically motivated group, we are interested only in money, we always keep our word. You have a possibility to decrypt your files and save your reputation in case we find good solution! 

You have to know we do not like procrastination. You have 7 days to come to the chat room and start negotiations.

- 1 Communication Process:

In order to contact with us you need to download Tor Browser.

You can download Tor Browser from this link:

https://www.torproject.org/download/

After you joined to chat room you have the opportunity to request several things from us for free:

1. make a test decrypt.

2. get a list of the files stolen from you.

At the end, we should agree on the price for our services. Keep in mind that we got your income/insurance documents.

- 2 Access to the chat room: 

To access us please use one of the following links:

        1. hxxx://sinobi7yuoppj76qnkwiobwfc2qve2xkv2ckvzyyjblwd7ucpptl62ad.onion/login

        ***

If Tor is blocked in your country you can use this link: http://chat.sinobi.us.org/login

Your unique ID: 68676f1e88b682********** - use it to register in the chat room.  

- 3 Blog:

To access us please use one of the following links:

1: hxxx://sinobi6ftrg27d6g4sjdt65malds6cfptlnjyw52rskakqjda6uvb7yd.onion/leaks

        ***

If Tor is blocked in your country you can use this link: http://blog.sinobi.us.org/leaks

- 4 Recommendations:

Do not try to recover your files with third-party programs, you will only do harm.

Do not turn off / reboot your computer.

Do not procrastinate.

Другим информатором жертвы является изображение с тем же текстом, заменяющее обои Рабочего стола. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Blog: hxxx://blog.sinobi.us.org/

Tor-URL: 

hxxx://sinobi7yuoppj76qnkwiobwfc2qve2xkv2ckvzyyjblwd7ucpptl62ad.onion/login

hxxx://sinobi57mfegeov2naiufkidlkpze263jtbldokimfjqmk2mye6s4yqd.onion/login

hxxx://sinobibdvzohujkliofkxiz3ueyedfh6bed2lzjz2z6pafw5jeoptsid.onion/login

hxxx://sinobibjqytwqxjw24zuerqcjyd3hoow6zia7z6kzvwawivamu7nqayd.onion/login

hxxx://sinobicrh73ongfuxjajmlyyhalvkhlcgttxkxaxz3gvsgdcgf76uiqd.onion/login

hxxx://sinobidxodgt4jsr3tlmf2rr4okjvvwfp5gh3lrqxnowomcx62ssrhqd.onion/login

hxxx://sinobiea4snfqtkc43paumapo4oi7vxcy5vjzfoalunsnvzehozfhpyd.onion/login

hxxx://chat.sinobi.us.org/login

hxxx://sinobi6ftrg27d6g4sjdt65malds6cfptlnjyw52rskakqjda6uvb7yd.onion/leaks

hxxx://sinobi6rlec6f2bgn6rd72xo7hvds4a5ajiu2if4oub2sut7fg3gomqd.onion/leaks

hxxx://sinobi6ywgmmvg2gj2yygkb2hxbimaxpqkyk27wti5zjwhfcldhackid.onion/leaks

hxxx://sinobi7l3wet3uqn4cagjiessuomv75aw3bvgah4jpj43od7xndb7kad.onion/leaks

hxxx://sinobi7sukclb3ygtorysbtrodgdbnrmgbhov45rwzipubbzhiu5jvqd.onion/leaks

hxxx://sinobi23i75c3znmqqxxyuzqvhxnjsar7actgvc4nqeuhgcn5yvz3zqd.onion/leaks

hxxx://sinobia6mw6ht2wcdjphessyzpy7ph2y4dyqbd74bgobgju4ybytmkqd.onion/leaks

hxxx://blog.sinobi.us.org/leaks

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: 08759d9ea2712d693891c870bbebbde3 

SHA-1: 00454046c6be47839226fc55da5bc492e5d4f99c 

SHA-256: d4919a7402d7ae02516589fbdfb3cc436749544052843a37b5d36ac4b7385b18 

Vhash: 025066655d1555155143z10c007iz23z6fz 

Imphash: 8b1b74c5acaa3433cd0a3f4678ea1fca

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Lynx Ransomware - июль 2024

Sinobi Ransomware - июнь-июль 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 Hyuna Lee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

KaWaLocker

KaWaLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует локальные сетевые данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать в чат вымогателям, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: KaWaLocker, указано в записке. На файле написано: C3CE46D40.exe. Распространитель: Ransomware Group KaWa4096
---
Обнаружения:
DrWeb -> Trojan.Encoder.42502
BitDefender -> Generic.Ransom.GarrantDecrypt.B.96D162F6
ESET-NOD32 -> A Variant Of Win64/Filecoder.ZC
Kaspersky -> Trojan-Ransom.Win32.Encoder.adxd
Malwarebytes -> Neshta.Virus.FileInfector.DDS
Microsoft -> Ransom:Win32/Babuk.SIB!MTB
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.14944e8f
TrendMicro -> Ransom.Win64.KAWA.A
---

© Генеалогия: родство выясняется >> KaWaLocker

Сайт "ID Ransomware" KaWaLocker пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших компании в США, Германии, Японии. 

К зашифрованным файлам добавляется расширение: .C3680868C

Записка с требованием выкупа называется: !!Restore-My-file-Kavva.txt

Содержание записки о выкупе:

-- KaWaLocker 

   >  Your network/system was encrypted. 

   >  Encrypted files have new extension. 

   >  We have downloaded compromising and sensitive data from your system/network.

   >  Our group cooperates with the mass media.

   >  If you refuse to communicate with us and we do not come to an agreement, 

   >  your data will be reviewed and published on our blog and othter darkweb markets.

   >  Install tor browser,visit KaWa Blog > hxxx://kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd.onion

Data includes: 

   >  Employees personal data, corp partner, Income, customer information, Human resourse, CVs, DL , SSN,

   >  Complete network map including credentials for local and remote services. 

   >  Financial information including clients data, bills, budgets, annual reports, bank statements. 

   >  Complete datagrams/schemas/drawings for manufacturing in solidworks format 

   >  And more... 

Warning:

   >  1) If you modify files - our decrypt software won't able to recover data 

   >  2) If you use third party software - you can damage/modify files (see item 1) 

   >  3) You need cipher key / our decrypt software to restore you files. 

   >  4) The police or authorities will not be able to help you get the cipher key. We encourage you to consider your decisions. 

Recovery:

   >  Download tox chat: https://tox.chat

   >  Go to add as friend ID> 6A340207246B47E37F6D094D2236E5C6242B6E4461EEF80***

Перевод записки на русский язык:

-- KaWaLocker

> Ваша сеть/система была зашифрована.

> Зашифрованные файлы имеют новое расширение.

> Мы загрузили компрометирующие и конфиденциальные данные из вашей системы/сети.

> Наша группа сотрудничает с СМИ.

> Если вы откажетесь общаться с нами и мы не придем к соглашению,

> ваши данные будут раскрыты и опубликованы в нашем блоге и других рынках даркнета.

> Установите браузер Tor, посетите блог KaWa > hxxx://kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd.onion

Данные включают:

> Персональные данные сотрудников, корпоративных партнеров, доход, информацию о клиентах, человеческие ресурсы, резюме, DL, SSN,

> Полная карта сети, включая учетные данные для локальных и удаленных служб.

> Финансовая информация, включая данные клиентов, счета, бюджеты, годовые отчеты, банковские выписки.

> Полные датаграммы/схемы/чертежи для производства в формате SolidWorks

> И многое другое...

***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Удаляет теневые копии файлов, очищает журналы Windows. 

Меняет иконку зашифрованных файлов на собственную. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускает, не шифрует файлы с расширениями: 

.ani, .bat, .cab, .cmd, .cpl, .cur, .dia2gcab, .diagpkg, .dll, .drv, .exe, .hlp, .icl, .icns, .ico, .ics, .idx, .iso, .key, .ldf, .lnk, .mod, .mpa, .msc, .msi, .msp, .msstyles, .msu, .mui, .nomedia, .ocx, .prf, .rom, .rtp, .scr, .shs, .spl, .sys, .theme, .themepack, .ttf  

Пропускает, не шифрует следующие файлы: 

boot.ini

desktop.ini

ntuser.dat

ntuser.ini

bootmgr

thumbs.db

autorun.inf

Пропускает, не шифрует следующие папки: 

$Recycle.bin

All Users, PerfLogs

Program Files (x86), Program Files, ProgramData

Windows.old, Windows

System Volume Information

Boot, Bootmgr

cpqsystem, font, azagent, Packages, kworking

Завершает следующие процессы: 

agntsvc.exe, avagent.exe, avscc.exe, bedbh.exe, benetns.exe, bengien.exe, beserver.exe, CagService.exe, cvd.exe, cvfwd.exe, CVMountd.exe, CVODS.exe, dbeng50.exe, dbsnmp.exe, DellSystemDetect.exe, encsvc.exe, EnterpriseClient.exe, excel.exe, firefox.exe, infopath.exe, isqlplussvc.exe, msaccess.exe, mspub.exe, mydesktopqos.exe, mydesktopservice.exe, notepad.exe, ocautoupds.exe, ocomm.exe, ocssd.exe, onenote.exe, oracle.exe, outlook.exe, powerpnt.exe, pvlsvr.exe, QBCFMonitorService.exe, QBDBMgrN.exe, QBIDPService.exe, raw_agent_svc.exe, SAP.exe, saphostexec.exe, saposcol.exe, sapstartsrv.exe, sqbcoreservice.exe, sql.exe, sqlbrowser.exe, sqlservr.exe, sqlwriter.exe, steam.exe, synctime.exe, tbirdconfig.exe, TeamViewer.exe, TeamViewer_Service.exe, thebat.exe, thunderbird.exe, tv_w32.exe, tv_x64.exe, VeeamDeploymentSvc.exe, VeeamNFSSvc.exe, VeeamTransportSvc.exe, visio.exe, vsnapvss.exe, vxmon.exe, winword.exe, wordpad.exe, xfssvccon.exe 

Отключает следующие службы:

AcronisAgent, AcrSch2Svc, backup, BackupExecAgentAccelerator, BackupExecAgentBrowser, BackupExecDiveciMediaService, BackupExecJobEngine, BackupExecManagementService, BackupExecRPCService, BackupExecVSSProvider, CAARCUpdateSvc, CASAD2DWebSvc, ccEvtMgr, ccSetMgr, DefWatch, GxBlr, GxCIMgr, GxClMgrS, GxCVD, GxFWD, GXMMM, GxVss, GxVssHWProv, Intuit.QuickBooks.FCS, memtas, mepocs, MSExchange, MSSQL$SQLEXPRESS, MVArmor, MVarmor64, mysql, PDVFSService, QBCFMonitorService, QBDBMgrN, QBFCService, QBIDPService, RTVscan, SAP, SAPHostControl, SAPHostExec, SAPService, SavRoam, sophos, sql, SQLWriter, stc_raw_agent, veeam, VeeamDeploymentService, VeeamNFSSvc, VeeamTransportSvc, VMAuthdService, VSNAPVSS, vss, WSBExchange, YooBackup, YooIT

Файлы, связанные с этим Ransomware:
!!Restore-My-file-Kavva.txt - название файла с требованием выкупа;
C3CE46D40.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd.onion

Email: kawa4096@onionmail.org

TOX ID: 6A340207246B47E37F6D094D2236E5C6242B6E4461EEF8021FED2C9855240C3E11AEE886FAAF
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: c3ce46d40b2893e30bf00fce72c2e1fa 

SHA-1: bd30c87774c083a1003c0b9fb0a922b702302272 

SHA-256: f3a6d4ccdd0f663269c3909e74d6847608b8632fb2814b0436a4532b8281e617 

Vhash: 016066655d156515524z72z897z5045z3021z55z67z 

Imphash: 4c1c8cbbd976ae3a112e8ba7d16b465c

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 Added later: Write-up

 Thanks: 
 Hyuna Lee, petik, S!Ri
 Andrew Ivanov (article author)
 Cyfirma
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

DarkLulz

DarkLulz Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в $50 в XMR, чтобы вернуть файлы. Оригинальное название: DarkLulz. На файле написано: rbf.exe, rbf2.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42510
BitDefender -> Trojan.GenericKD.76712100
ESET-NOD32 -> A Variant Of WinGo/Filecoder.DarkLulz.B
Kaspersky -> Trojan-PSW.Win32.Stealer.crpi
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.LockFile!8.12D75 (CLOUD)
Tencent -> Win32.Trojan.LummaStealer.Azlw
TrendMicro -> Ransom.Win64.DARKLULZ.SM.go
---

© Генеалогия: Prince >> DarkLulz

Сайт "ID Ransomware" DarkLulz пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была во второй половине июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .DarkLulz

Записка с требованием выкупа называется: README_1.txt

Краткая версия записки (без рисунка): 

Содержание записки о выкупе:

~~~ All your files have been encrypted by DarkLulz Ransomware. ~~~

-> How can you trust us?

[+] - We create ransomware to target countries, companies, and more. 

    - Our goal is money. We've been working in ransomware for over 2 years.

-> How can I recover them?

[+] - To recover your files, you must pay $50 crypto of XMR (Monero) to the 

following address : 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

-> How does payment with XMR work?

[+] - Install a crypto wallet that accepts XMR, such as Monero GUI Wallet or MyMonero.

    - Buy $50 in XMR (Monero).

    - Send the amount of crypto to our address below: 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

    - NOTE YOUR TRANSACTION ID ON A PAPER. This is crucial for restoring your files.

-> How is the recovery phase of your files going?

[+] - Send your transaction ID to the following email address: darklulz@onionmail.org.

    - Once completed, we'll respond within 24 hours and send you the decryption software.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README_1.txt - название файла с требованием выкупа;

rbf.exe - название вредоносного файла; 

rbf2.exe - название другого вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: darklulz@onionmail.org
XMR: 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: d89899b6322966009d082a7830e0d07e 

SHA-1: ab295bd0ca6115a4a00c2fc573de17dbe0044c26 

SHA-256: c632d6ab280979c087ba071454d27d5bc7374aeb3ed9e030567e12276d0229d4 

Vhash: 0360f6655d15551555757az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 4aaf857e0caaf12929b2416299d3aa3e 

SHA-1: 7790f069460722b84ab728296999df847aa9ab02 

SHA-256: 7ba3fb5590832e388d4c6742c046ccceb42be8402613a384c270a04256d32b91 

Vhash: 0360f6655d15551555757az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Prince Ransomware с вариантами - июль-ноябрь 2024

CrazyHunter Ransomware - апрель-май 2025

HexaLocker Ransomware - январь 2025  или раньше

HexaLocker-2 Ransomware - апрель 2025 или раньше

DarkLulz Ransomware - июнь 2025

CyberVolk Ransomware (hackerk4) - вариант июня 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PaduckLee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.