BlackField Ransomware
Aliases: BlackFL, Yamag
(шифровальщик-вымогатель) (первоисточник)
Translation into English
---
Обнаружения:
DrWeb -> Trojan.Encoder.42558
BitDefender -> Trojan.GenericKD.76800630
ESET-NOD32 -> A Variant Of Win64/Filecoder.ZQ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Microsoft -> Ransom:Win64/Lockbit.AC!MTB
Rising -> Trojan.Kryptik!8.8 (TFE:5:dNueixJeEaL)
Symantec -> Ransom.Conti!gen23
Tencent -> Malware.Win32.Gencirc.1496b9ef
TrendMicro -> Ransom_Lockbit.R002C0DG725
---
© Генеалогия: CONTI-2 >> BlackField
Tencent -> Malware.Win32.Gencirc.1496b9ef
TrendMicro -> Ransom_Lockbit.R002C0DG725
---
© Генеалогия: CONTI-2 >> BlackField
Сайт "ID Ransomware" это пока не идентифицирует.
Информация для идентификации
Активность этого крипто-вымогателя была в начале июля 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
К зашифрованным файлам добавляется расширение: .BlackFL
Записка с требованием выкупа называется: BlackField_ReadMe.txt
Содержание записки о выкупе:
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
BlackField_ReadMe.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: yamag@onionmail.org, yamag@tuta.io
Записка с требованием выкупа называется: BlackField_ReadMe.txt
Содержание записки о выкупе:
Hi friends,
Whatever who you are and what your title is if you're reading this it means the internal infrastructure of your company is fully or partially
dead, all your backups - virtual, physical - everything that we managed to reach - are completely removed. Moreover,
we have taken a great amount of your corporate data prior to encryption.
Well, for now let's keep all the tears and resentment to ourselves and try to build a constructive dialogue.
We're fully aware of what damage we caused by locking your internal sources. At the moment, you have to know:
1. Dealing with us you will save A LOT due to we are not interested in ruining your financially. We will study in depth your finance,
bank & income statements, your savings, investments etc. and present our reasonable demand to you. If you have an active cyber insurance,
let us know and we will guide you how to properly use it. Also, dragging out the negotiation process will lead to failing of a deal.
2. Paying us you save your TIME, MONEY, EFFORTS and be back on track within 24 hours approximately.
Our decryptor works properly on any files or systems,
so you will be able to check it by requesting a test decryption service from the beginning of our conversation. If you decide to recover on your own,
keep in mind that you can permanently lose access to some files or accidently corrupt them - in this case we won't be able to help.
3. The security report or the exclusive first-hand information that you will receive upon reaching an agreement is of a great value,
since NO full audit of your network will show you the vulnerabilities that we've managed to detect and used in order to get into,
identify backup solutions and upload your data.
4. As for your data, if we fail to agree, we will try to sell personal information/trade secrets/databases/source codes - generally speaking,
everything that has a value on the darkmarket - to multiple threat actors at ones. Then all of this will be published in our blog -
5. We're more than negotiable and will definitely find the way to settle this quickly and reach an agreement which will satisfy both of us.
If you're indeed interested in our assistance and the services we provide you can reach out to us following simple instructions:
Primary email : yamag@onionmail.org use this as the title of your email SFbGThkOQBr3-CdxRU-locals
Secondary email(backup email in case we didn't answer you in 24h) : yamag@tuta.io , TELEGRAM: @gotchadec
Keep in mind that the faster you will get in touch, the less damage we cause.
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали + IOC
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
BlackField_ReadMe.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: yamag@onionmail.org, yamag@tuta.io
Telegram: gotchadec
BTC: -
BTC: -
См. ниже в обновлениях другие адреса и контакты.
Результаты анализов:
Результаты анализов:
MD5: 6c4fa3e0eedb3100f4757bd2172bec9f
SHA-1: 5d8c9959c37fcf51c33a59d87d73f5fed90aa05b
SHA-256: 14468d1a661ce6296e3b0ee696d8c95b3798138668463e142046c056fb870b68
Vhash: 025066655d1555555az43nz15z27z
Imphash: 480e15f1c0ffcaef8e7a03e98c1830ef
Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновлений не было или не добавлены.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***
Thanks: Bitshadow, petik, pcrisk Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
