BaqiyatLock

BaqiyatLock Ransomware

BQTLock Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует свяхаться с вымогателями через X (Twitter) или Telegram, чтобы заплатить выкуп и расшифровать  файлы. Шифрование (файл update.exe) и дешифрование (файл decryptor.exe) работает только при наличии своих файлов в той же папке. 
---
Обнаружения: на файл update.exe
DrWeb -> Trojan.Encoder.42593
BitDefender -> Generic.Ransom.Spora.1804A149
ESET-NOD32 -> A Variant Of Win64/Filecoder.BQTLock.A
Kaspersky -> HEUR:Trojan.Win32.Breakwin.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Egairtigado!rfn
Rising -> Ransom.Qilin!8.18F09 (CLOUD)
Tencent -> Malware.Win32.Gencirc.11e18438
TrendMicro -> Ransom.Win64.BQTLOCK.THAFBE

---

Обнаружения: на файл decryptor.exe

DrWeb -> Trojan.Encoder.42758

BitDefender -> Trojan.GenericKD.76866526

ESET-NOD32 -> A Variant Of Generik.KFMARSG

Malwarebytes -> RiskWare.BQTLockDecryptor

Microsoft -> Trojan:Win32/Egairtigado!rfn

Tencent -> Malware.Win32.Gencirc.11e186fd

TrendMicro -> TROJ_GEN.R06EC0DGH25

---

© Генеалогия: ✂ Cactus > BaqiyatLock 

Сайт "ID Ransomware" BaqiyatLock пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине июля 2025 г.  Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .BQTLOCK

Записка с требованием выкупа называется по шаблону: READ_ME_NOW_<numbers>.txt

Примеры: 

READ_ME_NOW_206906.txt

READ_ME_NOW_1538281.txt

Содержание записки о выкупе:

ALL YOUR FILES HAVE BEEN ENCRYPTED BY BQTLOCK!

Your entire network has been penetrated, and all data is now encrypted using military-grade AES-256 and RSA-4096 algorithms. Decryption is impossible without our unique private key.

⚠ Do NOT attempt to recover your files using third-party tools or backups. Any such action will result in the irreversible loss of your data.

To begin the recovery process, contact us exclusively via:

Telegram or Twitter: @ZeroDayX1

Official Channel: hxxxs://t.me/BQTLock

your unique ID

***

You have 48 hours to make contact. After that, the decryption price will double. After 7 days, your key will be destroyed permanently.

We are watchingl

Заменяет обои Рабочего стола своим изображением:

Сообщение от zerodayx1 онлайн: 

hxxxs://x.com/zerodayx1/status/1944647952959451352

💀 BQTlock is just warming up.

This is a small preview,  the real storm comes with our RaaS launch.

Top-tier targets hit. Unknown exploits used.

The world doesn’t know what’s coming. Yet.

BQTlock is already inside… just waiting.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_ME_NOW_<numbers>.txt - название файла с требованием выкупа;

update.exe - название вредоносного файла; 
decryptor.exe - название файла дешифровщика.

Шифрование и дешифрование работает только при наличии своих файлов в той же папке. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Telegram: @ZeroDayX1

Twitter: @ZeroDayX1

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов (update.exe): 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 4e7434ac13001fe55474573aa5e9379d 

SHA-1: 53385e0fd7fc9c88080abf5b97cd5b84b31c876e 

SHA-256: 618070d597dd73c43ba5d4bde2baa93a4f6038e3279de3bafe688caa5c409a58 

Vhash: 0461366d1555655c051d0085z6003f56033z4035z33z55z37z

---

Результаты анализов (decryptor.exe):

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: a065c2d25096957126b9739f95810a12 

SHA-1: 89c591228df334c3a974ed7b96e2060258171b78 

SHA-256: 862f29aa00bb4ee33729bc6699990dbdf9ef890b8364f8288b173cb1ca5d6787 

Vhash: 0361366d1555655c055dbz2d5efz1lz

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, JAMESWT_WT
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

BlackField

BlackField Ransomware

Aliases: BlackFL, Yamag

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать вымогателям, чтобы заплатить выкуп и узнать как вернуть свои файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42558
BitDefender -> Trojan.GenericKD.76800630
ESET-NOD32 -> A Variant Of Win64/Filecoder.ZQ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Microsoft -> Ransom:Win64/Lockbit.AC!MTB
Rising -> Trojan.Kryptik!8.8 (TFE:5:dNueixJeEaL)

Symantec -> Ransom.Conti!gen23
Tencent -> Malware.Win32.Gencirc.1496b9ef
TrendMicro -> Ransom_Lockbit.R002C0DG725
---

© Генеалогия: CONTI-2 >> BlackField

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале июля 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .BlackFL 

Записка с требованием выкупа называется: BlackField_ReadMe.txt

Содержание записки о выкупе:

Hi friends,

Whatever who you are and what your title is if you're reading this it means the internal infrastructure of your company is fully or partially

dead, all your backups - virtual, physical - everything that we managed to reach - are completely removed. Moreover,

we have taken a great amount of your corporate data prior to encryption.

Well, for now let's keep all the tears and resentment to ourselves and try to build a constructive dialogue.

 We're fully aware of what damage we caused by locking your internal sources. At the moment, you have to know:

1. Dealing with us you will save A LOT due to we are not interested in ruining your financially. We will study in depth your finance,

 bank & income statements, your savings, investments etc. and present our reasonable demand to you. If you have an active cyber insurance,

 let us know and we will guide you how to properly use it. Also, dragging out the negotiation process will lead to failing of a deal.

2. Paying us you save your TIME, MONEY, EFFORTS and be back on track within 24 hours approximately.

Our decryptor works properly on any files or systems,

so you will be able to check it by requesting a test decryption service from the beginning of our conversation. If you decide to recover on your own,

 keep in mind that you can permanently lose access to some files or accidently corrupt them - in this case we won't be able to help.

3. The security report or the exclusive first-hand information that you will receive upon reaching an agreement is of a great value,

 since NO full audit of your network will show you the vulnerabilities that we've managed to detect and used in order to get into,

 identify backup solutions and upload your data.

4. As for your data, if we fail to agree, we will try to sell personal information/trade secrets/databases/source codes - generally speaking,

 everything that has a value on the darkmarket - to multiple threat actors at ones. Then all of this will be published in our blog -

5. We're more than negotiable and will definitely find the way to settle this quickly and reach an agreement which will satisfy both of us.

If you're indeed interested in our assistance and the services we provide you can reach out to us following simple instructions:

Primary email : yamag@onionmail.org   use this as the title of your email SFbGThkOQBr3-CdxRU-locals

Secondary email(backup email in case we didn't answer you in 24h) : yamag@tuta.io , TELEGRAM: @gotchadec

Keep in mind that the faster you will get in touch, the less damage we cause.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
BlackField_ReadMe.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: yamag@onionmail.org, yamag@tuta.io

Telegram: gotchadec
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: 6c4fa3e0eedb3100f4757bd2172bec9f 

SHA-1: 5d8c9959c37fcf51c33a59d87d73f5fed90aa05b 

SHA-256: 14468d1a661ce6296e3b0ee696d8c95b3798138668463e142046c056fb870b68 

Vhash: 025066655d1555555az43nz15z27z 

Imphash: 480e15f1c0ffcaef8e7a03e98c1830ef

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Bitshadow, petik, pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

EndPoint

EndPoint Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует написать вымогателям, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: EndPoint. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.42546
BitDefender -> Generic.Ransom.Babuk.!s!.G.A7E938E3
ESET-NOD32 -> A Variant Of Win32/Filecoder.Babyk.A
Kaspersky -> UDS:Trojan.Win32.Generic
Malwarebytes -> Ransom.Babuk
Microsoft -> Ransom:Win32/Babuk.SIB!MTB
Rising -> Ransom.Babuk!1.12A2A (CLASSIC)
Tencent -> Trojan-Ransom.Win32.Babyk.16000578
TrendMicro -> Ransom_Babuk.R002C0DFR25
---

© Генеалогия: Babuk modified >> ChiChi Ransomware > EndPoint

Сайт "ID Ransomware" EndPoint пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .endpoint

Записка с требованием выкупа называется: How To Restore Your Files.txt

Содержание записки о выкупе:

Your data has been stolen and encrypted by EndPoint Ransomware...We will delete the stolen data and help with the recovery of encrypted files after payment has been madeContact me through the following this utox id(6615A0B77B74C26F6E5469B71326F0658783B6FF998B0DC67006C7137E8BC14D4C0784E5FE19)Do not try to change or resotre files yourself,this will break themWe provide free decryption for any 3 files up to 3MbThe final price depepnds on how fast you write to us..Good Luck...

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов с помощью команды: 

vssadmin.exe  delete shadows /all /quiet

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
How To Restore Your Files.txt - название файла с требованием выкупа;
svchosts.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: c00cc937e064946ee42776cfe80754d7 

SHA-1: 8feefc32a39bf6867378c2b25d68dd79e73f1e52 

SHA-256: dd9de77c6e17093b0b2150b3f0c66e8526369ba68fb7b9a5758ff9274d85342e 

Vhash: 015076655d1d1515156078z7iz33z2fz 

Imphash: 96272ca8281bc1f950eb461a23ea5021

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PaduckLee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Vatican

Vatican Ransomware

VaticanRansomware Ransomware 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем предлагает выполнить требование, указанное в записке, чтобы получить возможность расшифровать файлы. Оригинальное название: VaticanRansomware. Написан на языке  программирования Python. 
---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> Python/Filecoder.BDN
Kaspersky -> Trojan-Ransom.Win32.Agent.bchj / Trojan-Ransom.Win32.GenericCryptor.lul
Microsoft -> Trojan:Win32/Yomal!rfn
Tencent -> Win32.Trojan-Ransom.Agent.Ddhl / Win32.Trojan-Ransom.Genericcryptor.Usmw
TrendMicro -> TROJ_GEN.R002H01G925
---

© Генеалогия: родство выясняется >> Vatican

Сайт "ID Ransomware" Vatican пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на разноязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .POPE

Записка с требованием выкупа написана на экране блокировки, где также есть переключатель языков: 

Содержание записки о выкупе:

Your VaticanRansomwere

Your files have been encrypted by VaticanRansomwere!

The only way to redeem your data is by acquiring the Holy Decryption Key from the Vatican.

To obtain this sacred key, you must offer exactly 30 silver coins (denarii) as tribute.

Send your offering to:

Piazza San Pietro

00120 Vatican City

After the penance is received, click 'Check Payment' to receive Holy Decryption Key.

Remember that this payment is optional. You are not forced to this, but if you refuse, you will be excluded from Christianity and your files lost in the deepest pits of Hell.

Do not delay in purchasing the key, for on a certain day you won't be able to check your payment and receive Holy Decryption Key even if you pay.

"But of that day and hour no one knows, not even the angels in heaven, nor the Son, but only the Fater." (Matthew 24:36)

Перевод на русский язык: 

Ваш VaticanRansomwere

Ваши файлы зашифрованы VaticanRansomwere!

Единственный способ восстановить ваши данные — получить Святой ключ дешифрования в Ватикане.

Чтобы получить этот священный ключ, необходимо пожертвовать ровно 30 серебряных монет (динариев) в качестве дани.

Отправьте своё пожертвование по адресу:

Площадь Сан-Пьетро

00120 Ватикан

После получения покаяния нажмите 'Проверить платёж', чтобы получить Святой ключ дешифрования.

Помните, что этот платёж необязателен. Вас никто не принуждает к этому, но если вы откажетесь, вы будете отлучены от христианства, а ваши файлы будут затеряны в самых глубоких глубинах ада.

Не откладывайте покупку ключа, ибо в определённый день вы не сможете проверить платёж и получить Святой ключ дешифрования, даже если заплатите.

"О дне же том и часе никто не знает, ни Ангелы небесные, ни Сын, а только Отец". (Матфея 24:36)

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 7b59c3a7182d97715ba2be9c8d54905d 

SHA-1: 1e7f5494d024587a1d7b87f6e3b9f6319cebcc3f 

SHA-256: 0e34d74e5bd4694f9deaa223d3f9a448f0618eebcf6d81114d3047d65836c967 

Vhash: 037066655d155575504013z3006bmz1cfz 

Imphash: 72c4e339b7af8ab1ed2eb3821c98713a

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 600355d8aae48db9c49229c0d2ba3eba 

SHA-1: 8e647a52c37f8fcc8cb0a205d5540b520d7231de 

SHA-256: e8e4989a17e768dd7c33f999ab2394be438da7bb0106cd850b2e5ffcb3cfff51 

Vhash: 037066655d155555504013z3006bmz1cfz 

Imphash: 72c4e339b7af8ab1ed2eb3821c98713a

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri, PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Sinobi

Sinobi Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями через чат на сайте в сети Tor, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: Sinobi. Распространение: Sinobi Group.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42370
BitDefender -> Gen:Variant.Mikey.178866
ESET-NOD32 -> A Variant Of Win64/Filecoder.XI
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Lynx
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.IncRansom!1.12794 (CLASSIC)
Tencent -> Win32.Trojan-Ransom.Generic.Uimw
TrendMicro -> Trojan.Win32.VSX.PE04C9f
---

© Генеалогия: Lynx >> Sinobi

Сайт "ID Ransomware"  идентифицирует Sinobi с 27 ноября 2025. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .SINOBI


Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

Good afternoon, we are Sinobi Group.

As you can see you have been attacked by us! We offer you to make a deal with us. all you need to do is contact us by following the instructions below. 

We are not politically motivated group, we are interested only in money, we always keep our word. You have a possibility to decrypt your files and save your reputation in case we find good solution! 

You have to know we do not like procrastination. You have 7 days to come to the chat room and start negotiations.

- 1 Communication Process:

In order to contact with us you need to download Tor Browser.

You can download Tor Browser from this link:

https://www.torproject.org/download/

After you joined to chat room you have the opportunity to request several things from us for free:

1. make a test decrypt.

2. get a list of the files stolen from you.

At the end, we should agree on the price for our services. Keep in mind that we got your income/insurance documents.

- 2 Access to the chat room: 

To access us please use one of the following links:

        1. hxxx://sinobi7yuoppj76qnkwiobwfc2qve2xkv2ckvzyyjblwd7ucpptl62ad.onion/login

        ***

If Tor is blocked in your country you can use this link: http://chat.sinobi.us.org/login

Your unique ID: 68676f1e88b682********** - use it to register in the chat room.  

- 3 Blog:

To access us please use one of the following links:

1: hxxx://sinobi6ftrg27d6g4sjdt65malds6cfptlnjyw52rskakqjda6uvb7yd.onion/leaks

        ***

If Tor is blocked in your country you can use this link: http://blog.sinobi.us.org/leaks

- 4 Recommendations:

Do not try to recover your files with third-party programs, you will only do harm.

Do not turn off / reboot your computer.

Do not procrastinate.

Другим информатором жертвы является изображение с тем же текстом, заменяющее обои Рабочего стола. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Blog: hxxx://blog.sinobi.us.org/

Tor-URL: 

hxxx://sinobi7yuoppj76qnkwiobwfc2qve2xkv2ckvzyyjblwd7ucpptl62ad.onion/login

hxxx://sinobi57mfegeov2naiufkidlkpze263jtbldokimfjqmk2mye6s4yqd.onion/login

hxxx://sinobibdvzohujkliofkxiz3ueyedfh6bed2lzjz2z6pafw5jeoptsid.onion/login

hxxx://sinobibjqytwqxjw24zuerqcjyd3hoow6zia7z6kzvwawivamu7nqayd.onion/login

hxxx://sinobicrh73ongfuxjajmlyyhalvkhlcgttxkxaxz3gvsgdcgf76uiqd.onion/login

hxxx://sinobidxodgt4jsr3tlmf2rr4okjvvwfp5gh3lrqxnowomcx62ssrhqd.onion/login

hxxx://sinobiea4snfqtkc43paumapo4oi7vxcy5vjzfoalunsnvzehozfhpyd.onion/login

hxxx://chat.sinobi.us.org/login

hxxx://sinobi6ftrg27d6g4sjdt65malds6cfptlnjyw52rskakqjda6uvb7yd.onion/leaks

hxxx://sinobi6rlec6f2bgn6rd72xo7hvds4a5ajiu2if4oub2sut7fg3gomqd.onion/leaks

hxxx://sinobi6ywgmmvg2gj2yygkb2hxbimaxpqkyk27wti5zjwhfcldhackid.onion/leaks

hxxx://sinobi7l3wet3uqn4cagjiessuomv75aw3bvgah4jpj43od7xndb7kad.onion/leaks

hxxx://sinobi7sukclb3ygtorysbtrodgdbnrmgbhov45rwzipubbzhiu5jvqd.onion/leaks

hxxx://sinobi23i75c3znmqqxxyuzqvhxnjsar7actgvc4nqeuhgcn5yvz3zqd.onion/leaks

hxxx://sinobia6mw6ht2wcdjphessyzpy7ph2y4dyqbd74bgobgju4ybytmkqd.onion/leaks

hxxx://blog.sinobi.us.org/leaks

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: 08759d9ea2712d693891c870bbebbde3 

SHA-1: 00454046c6be47839226fc55da5bc492e5d4f99c 

SHA-256: d4919a7402d7ae02516589fbdfb3cc436749544052843a37b5d36ac4b7385b18 

Vhash: 025066655d1555155143z10c007iz23z6fz 

Imphash: 8b1b74c5acaa3433cd0a3f4678ea1fca

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Lynx Ransomware - июль 2024

Sinobi Ransomware - июнь-июль 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 Hyuna Lee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.