Archuskha

Archuskha Ransomware

BronyaHaxxor Ransomware

Ransomware TESTER

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует или делает вид, что шифрует данные пользователей с помощью AES, а затем требует выкуп 0.0040 BTC, чтобы вернуть файлы. Оригинальное название: Ransomware TESTER.exe. На файле написано: Ransomware TESTER, Archuskha_Ransomware, Haxxor Star Shot System. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.34488

ALYac -> Trojan.Ransom.HiddenTear
BitDefender -> Gen:Heur.Ransom.HiddenTears.1
ESET-NOD32 -> MSIL/Filecoder.AMM
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Cryptor.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:MSIL/FileCryptor.MAK!MTB
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_FileCryptor.R002C0DJO21
---

© Генеалогия: ✂ HiddenTear >> Archuskha (BronyaHaxxor)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден во второй половине октября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .BronyaHaxxor

Записка с требованием выкупа написана на экране блокировки: 

Содержание текста на экране:

Haxxor NULL-404 // Bronya Programme

Your Files has been encrypted

Hello mate, Your files are encrypted using AES

If you think you can decrypt your files with yourself, so do it

If you can

Pay with 0,0040 BTC

*ALERT*

We do not recommend closing this application

NOT YET PAYMENT

Перевод текста на русский язык:

Haxxor NULL-404 // Программа Броня

Твои файлы зашифрованы

Привет, дружище, Твои файлы зашифрованы с AES

Если ты думаешь, что можещь расшифровать свои файлы сам, сделай это

Если ты можешь

Оплати 0,0040 BTC

*ТРЕВОГА*

Мы не рекомендуем закрывать это приложение

ОПЛАТА НЕ ПРОЙДЕТ

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Позиционируется как тест-вымогатель. Что именно разработчик хотел этим показать, не совсем понятно. Вероятно, это программа для себя. 

После некоторых изменений вполне может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware: 

Ransomware TESTER.pdb - название файла проекта; 

Ransomware TESTER.exe - название исполняемого файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\mikoj\OneDrive\Documents\Visual Studio Project\Archuskha_Ransomware_tester\Archuskha_Ransomware_tester\obj\Debug\Ransomware TESTER.pdb

C:\Users\Admin\AppData\Local\Temp\Ransomware TESTER.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 73e648b2a4b5694be7fe6a0384e911c4

SHA-1: 48d275d6e9c7578f283f76ea0355bf0c25313004

SHA-256: bfe30493e06806cdb3081f03dc17f09b3e14434a765389f92eeace69cb16a77c

Vhash: 236036757511d08510223015

Imphash:  f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Moses Staff

Moses Staff Ransomware

CDEL Ransomware

Anti-Israel Ransomware

(шифровальщик-не-вымогатель, деструктор) 
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем даже не требует выкуп, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: cdel.exe. Исполняемый файл написан на Python и скомпилирован с помощью PyInstaller. Атакующая группа: Moses Staff. Специалисты считают, что отказ от выкупа и наглое поведение представителей Moses Staff в социальных сетях и СМИ является политически мотивированным, а израильские организации атакуются с целью причинения ущерба. Израильская сторона обвиняет Иран в этих атаках. 
---
Обнаружения: 
DrWeb -> Trojan.Siggen15.44970
BitDefender -> Trojan.MosesStaff.A
ESET-NOD32 -> WinGo/Agent.EW
Kaspersky -> HackTool.Win32.Agent.ajbp
Malwarebytes -> Malware.AI.2596357597
Microsoft -> Trojan:Win32/Vigorf.A
Rising -> Trojan.Generic@ML.92 (RDMK:zmN*
Symantec -> Trojan Horse 
TrendMicro -> TROJ_FRS.VSNTKH21
---

© Генеалогия: ??? >> Moses Staff

Сайт "ID Ransomware" идентифицирует это как Moses Staff. 

Информация для идентификации

Активность этого крипто-вымогателя началась в октябре и продолжилась в ноябре 2021 г. Ориентирован на израильские организации. Тексты написаны на английском. 

К зашифрованным файлам добавляется расширение: *нет данных*.

Первые исследователи вредоносной программы, специалисты Check Point не стали относить хакерскую группу к какой-либо конкретной стране, не имея доказательств, но указали, что некоторые образцы вредоносного ПО группы были отправлены на сайт VirusTotal с IP-адресов, находящихся в Палестине, за несколько месяцев до первой атаки Moses Staff. На момент публикации и обновления статьи Moses Staff перечислили 16 жертв на своем сайте утечки. 

Записка с требованием выкупа не используется, вместо нее публикуются громкие заявления. Пример такого заявления на следующем скриншоте.

Содержание текста (с оригинальными ошибками): 

Moses Staff

And those who didn't tolerate the Moses legitimacy called his staff magic and spell and they tyrannized Moses' disciples abundantly.

Now. the same ones violate justice and opress our nation excessively, thus makes us more determined to fight.

The soldiers whise blood is shed due to wrong policies and fruitless wars, the mothers mourning for their children, and all the cruelty and injustice done to the people of this nation; we won't forget! We won't forgive! We'll keep fighting! To uncover your hidden crimes.

You are close to the end.

Перевод текста на русски: 

Moses Staff

И те, кто не мирился с законностью Моисея, называли его посох магией и колдовством и притесняли учеников Моисея.

Теперь те же самые нарушают справедливость и жестоко угнетают нашу нацию, тем самым заставляя нас бороться более решительно.

Солдат, кровь которых пролита из-за неправильной политики и бесплодных войн, матерей, оплакивающие своих детей, и всю жестокость и несправедливость, причиненную людям этой страны; мы не забудем! Мы не простим! Мы будем бороться! Чтобы раскрыть ваши тайные преступления. 

Вам скоро конец.

---

Содержание другого сообщения на сайте Moses Staff: 

Our cyber power against their oppression

Our cyber attacks will continue to expose your crimes

Work with us

Do you want to take part in exposing the crimes of the Zionists in occupied Palestine?

Contact us

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Группа Moses Staff взламывает сети жертв, используя старые уязвимости серверов Microsoft Exchange, которые остаются без исправлений. После успешного проникновения в систему хакерская группа перемещается по сети в боковом направлении с помощью PsExec, WMIC и Powershell, специальные бэкдоры не используются. Затем перед шифрованием данных хакеры крадут конфиденциальную информацию из сети жертвы.

Цепочка заражения

Для шифрования хакеры используют вредоносную программу PyDCrypt, которая развертывает библиотеку DiskCryptor с открытым исходным кодом для шифрования томов и блокировки компьютеров жертв с помощью загрузчика, который не позволяет машинам загружаться без правильного пароля. Даже если указан правильный пароль, данные все равно будут зашифрованы после загрузки системы. 

Check Point установили, что пароль загрузки и ключ шифрования могут быть восстановлены при определенных обстоятельствах, поскольку схема шифрования использует генерацию симметричного ключа при шифровании устройств. Иначе говоря, PyDCrypt генерирует уникальные ключи для каждого имени хоста на основе хэша MD5 и созданной соли. Если копия PyDCrypt, используемая в атаке, извлекается и отменяется, функция хеширования может быть получена.

Подробнее о шифровании читайте в статье Check Point >>

MosesStaff открыто заявляет, что их мотивация атаковать израильские компании состоит в том, чтобы нанести ущерб путем утечки украденных конфиденциальных данных и шифрования сетей жертвы без требования выкупа. Говоря языком нападающих, их цель - «бороться с сопротивлением и разоблачать преступления сионистов на оккупированных территориях».

Хакеры также управляют Telegram-каналом и имеют учетную запись в Twitter, где объявляют о новых жертвах, которых они добавляют на свой сайт утечек.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
cdel.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Telegram: t.me/moses_staff

Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: a06c125e6da566be67aacf6c4e44005e

SHA-1: 131c688dcc9ac8f60407aae6810b32c8c66ac74f

SHA-256: 2aae636691b7d258528d19411d111bc48f36616438e8a8d0b223ecc8b33dd3db

Vhash: 0260e7655d54547474747az25!z

Imphash: 91802a615b3a5c4bcc05bc5f66a5b219

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Write-up, Topic of Support
 * 

 Thanks: 
 Check Point, BleepingComputer
 Andrew Ivanov (article author)
 Michael Gillespie 
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

CryptoJoker 2021

CryptoJoker 2021 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

 Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Для получения программы для расшифровки файлов пишите в тему поддержки - Demonslay335 может помочь.
---
Обнаружения:
DrWeb ->
ALYac ->
Avira (no cloud) ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---

© Генеалогия: более ранние варианты > CryptoJoker 2019 > CryptoJoker 2020 > CryptoJoker 2021

Сайт "ID Ransomware" идентифицирует это как CryptoJoker. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине октября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .encrypted

Фактически используется составное расширение: .partially.[encrypter@tuta.io].encrypted

Но используется, как в предыдущих вариантах, в составе двух типов:

.partially

.fully

Одно используется для частичного шифрования файлов, другое для полного шифрования файлов. 

Записка с требованием выкупа называется: how to decrypt my files.txt

Содержание записки о выкупе:

hello !!! all your data is encrypted..

and for decrypt it you need a key..

if you want to return your data :

contact us whit this email :

encrypter@tuta.io

warning : please be careful if you try decrypt it

yourself or change windows or every things

you may damage it and damage the some hidden

necessary decryption files

Перевод записки на русский язык:

Привет !!! все ваши данные зашифрованы..

а для его расшифровки нужен ключ..

если вы хотите вернуть свои данные:

свяжитесь с нами по этому email:

encrypter@tuta.io

предупреждение: будьте осторожны, если попробуете расшифровать

сами или сменить windows или все прочее

вы можете повредить эти файлы и некоторые другие скрытые 

необходимые для дешифрования файлы

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
how to decrypt my files.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Частично зашифрованные файлы выглядят следующим образом:

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: encrypter@tuta.io
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

CryptoJoker 2016 Ransomware - январь 2016
Executioner Ransomware - начало июня 2017
CryptoJoker 2017 Ransomware - середина июня 2017
ExecutionerPlus Ransomware - декабрь 2017
CryptoNar (CryptoJoker 2018) Ransomware - август 2018
CryptoJoker 2019 Ransomware - сентябрь 2019
CryptoJoker 2020 Ransomware - ноябрь 2020
CryptoJoker 2021 Ransomware - октябрь 2021

CryptoJoker 2022 Ransomware - март 2022

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, quietman7
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

VanGoth

VanGoth Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп £50 в BTC, чтобы вернуть файлы. Оригинальное название: VanGoth. На файле написано: VanGoth.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34421
BitDefender -> Trojan.GenericKD.37797714

ESET-NOD32 -> A Variant Of MSIL/Filecoder.GZ
Kaspersky -> UDS:Trojan-Ransom.MSIL.Encoder.gen
Malwarebytes -> Ransom.FileLocker
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Symantec -> Trojan Horse
TrendMicro -> Ransom.MSIL.VANGOTH.THJBEBA
---

© Генеалогия: HiddenTear >> VanGoth

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине октября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .VanGoth

Записка с требованием выкупа называется: READ_IT.txt

Содержание записки о выкупе:

Files have been encrypted by VanGoth

Please send  Some etherum worth £50 to ether address:0x1AF8944214143085AD09b459303f3EB29953d7eB

email jaber1699@protonmail.com for deC3ypter Program to deCypt Files Allso eate ***. *** Back the KKK and slavery.

Перевод записки на русский язык:

Файлы были зашифрованы VanGoth

Отправьте немного эфира на 50 фунтов стерлингов на адрес: 0x1AF8944214143085AD09b459303f3EB29953d7eB

напишите по электронной почте jaber1699@protonmail.com для программы deC3ypter по распаковке файлов. ***. *** возврат KKK и рабство.

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_IT.txt - название файла с требованием выкупа;
VanGoth.exe - название вредоносного файла;

gmreadme.txt - название файла, созданного файлом VanGoth.exe.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\VanGoth.exe

C:\Windows\SysWOW64\drivers\gmreadme.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: jaber1699@protonmail.com
Ethereum: 0x1AF8944214143085AD09b459303f3EB29953d7eB

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: afff555062c4e6fb3a34e7c2be519fcd

SHA-1: 73ed552ba04e57e8cd991f9f82a182aa298c4baa

SHA-256: d27a5719ec67c146a1b338302074de39f5ad49b17f81cb014cc2c57c4f464d85

Vhash: 234036551511209515d3080

Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.