DiskHelpYou

DiskHelpYou Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель блокирует данные виртуальных машин бизнес-пользователей с помощью модифицированной версии LockBit 3, а затем требует связаться с вымогателями с помощью указанных контактов, чтобы узнать, как заплатить выкуп и вернуть свои файлы. Оригинальное название: видимо DiskHelpYou, но в записке не указано. На файле написано: нет данных. 

Других подобных случаев на данный момент неизвестно. Пострадавшие смогли извлечь некоторые данные из бэкапов и восстановить. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: LockBit 3 + Babuk ESXi >> DiskHelpYou

Этимология названия:

Вымогатели использовали фразу "DiskHelpYou", но не дали своим вымогательским инструментам никакого названия. Мы же использовали это название для публикации и информирования пострадавших. 

Сайт "ID Ransomware" это пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце июня 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Перед шифрованием хакеры вымогателей долго изучают корпоративную сеть, графики работы админов, чтобы провести атаку в тот момент, когда никто не заметит и не помешает. 

К зашифрованным файлам добавляется расширение: .diskhelpyou

Записка с требованием выкупа называется: How-To-Restore-Your-Files.txt

На скриншотах видно, что после текста вымогателей много пустых ячеек. 

Содержание записки о выкупе:

>>>> Your data are stolen and encrypted    

  If you pay, we will provide you the programs for decryption and we will delete your data. 

  If we do not give you decrypters, or we do not delete your data after payment, then nobody will pay us in the future. 

  Therefore to us our reputation is very important. We attack the companies worldwide and there is no dissatisfied victim after payment.

>>>>>>>>>>>> DANGER <<<<<<<<<<<<

>>>> Warning! Do not DELETE or MODIFY any files, We WILL NOT be able to RESTORE them!

>>>>>>>>>>>> DANGER <<<<<<<<<<<<

>>>> You need contact us and decrypt one file for free.

>>>> You have 48 hours to contact us or We will remove the decryption keys!

===================================================

>>>>>>>>>>>> Telegram: @diskhelpyou hxxxs://t.me/diskhelpyou

>>>>>>>>>>>> Tox: 951CF1240F29C2AE92B63503574787A55988C9CD3192F383C79E288B2ED3AF5BC0F7867EA4A8 (https://qtox.github.io)

>>>>>>>>>>>> Mail: diskhelpyou@onionmail.org

Перевод записки на русский язык:

>>>> Ваши данные украдены и зашифрованы

 Если вы заплатите, мы предоставим вам программы для дешифровки и удалим ваши данные.

 Если мы не предоставим вам дешифровщики или не удалим ваши данные после оплаты, то в дальнейшем нам никто платить не будет.

 Поэтому для нас очень важна наша репутация. Мы атакуем компании по всему миру и после оплаты не осталось недовольных жертв.

>>>>>>>>>>>> ОПАСНО <<<<<<<<<<<<

>>>> Внимание! НЕ УДАЛЯЙТЕ и НЕ ИЗМЕНЯЙТЕ файлы, МЫ НЕ СМОЖЕМ ВОССТАНОВИТЬ их!

>>>>>>>>>>>> ОПАСНО <<<<<<<<<<<<

>>>> Вам нужно написать нам и бесплатно расшифровать один файл.

>>>> У вас есть 48 часов, чтобы написать нам, иначе мы удалим ключи дешифровки!

***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
How-To-Restore-Your-Files.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Telegram: @diskhelpyou hxxxs://t.me/diskhelpyou

Tox: 951CF1240F29C2AE92B63503574787A55988C9C***

Email: diskhelpyou@onionmail.org

BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализа: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Результаты анализа файла дешифровщика:

IOC: VT, IA

MD5: 2f17b8eb0ce9fbc5814591698a07b973

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 rivitna
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

XXXXXX, Darxe

XXXXXX Ransomware

Darxe Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: AAA.exe. Написан на языке Go. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.37643
BitDefender -> Trojan.GenericKD.65372298
ESET-NOD32 -> WinGo/Filecoder.DQ
Kaspersky -> Trojan-Ransom.Win64.Agent.dqq
Malwarebytes -> Malware.AI.4273547575
Microsoft -> Trojan:Win64/Delf!MTB
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.10be7865
TrendMicro -> Trojan.Win64.DELF.R002C0TAN23
---

© Генеалогия: родство выясняется >> XXXXXX (Darxe)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале июня 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .XXXXXX

Записка с требованием выкупа называется: HOW_TO_FIX_FILES.XXXXXX.txt

Содержание записки о выкупе:

Attention!

----------------------------

| What happened?

----------------------------

We hacked your network and now all your files, documents, photos, databases, and other important data are safely encrypted with reliable algorithms.

You cannot access the files right now. But do not worry. You can get it back! It is easy to recover in a few steps.

After the payment the decryptor will be given to you, so you can restore all your files.

----------------------------

| How to contact us and get my files back?

----------------------------

The only method to restore your files and be safe from data leakage is to purchase a unique for you private key which is securely stored on our servers. 

To contact us and purchase the key you have to email us.

- Email me at : darxe@onionmail.org

----------------------------

| What about guarantees?

----------------------------

We understand your stress and worry.

So you have a FREE opportunity to test a service by instantly decrypting for free three files from every system in your network.

If you have any problems our friendly support team is always here to assist you in a email!

Dear system administrators, do not think you can handle it by yourself. Inform leadership as soon as possible.

By hiding the fact of the breach you will be eventually fired and sometimes even sued.

-------------------------------------------------------------------------------

THIS IS A SPECIAL BLOCK WITH A PERSONAL AND CONFIDENTIAL INFORMATION! DO NOT TOUCH IT WE NEED IT TO IDENTIFY AND AUTHORIZE YOU

---BEGIN KEY---

0ded5548dee4c5***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW_TO_FIX_FILES.XXXXXX.txt - название файла с требованием выкупа;
AAA.exe - название вредоносного файла/ 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: darxe@onionmail.org
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Aravind3367, quietman7
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

DarkRace

DarkRace Ransomware

Variants: DoNex Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: DarkRace, указано в записке. На файле написано: нет данных.

---
Обнаружения:
DrWeb -> Trojan.Encoder.38091; Trojan.Encoder.37626
BitDefender -> Gen:Heur.Ransom.Imps.1
ESET-NOD32 -> A Variant Of Win32/Agent.AEUZ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.FileCryptor; Generic.Malware/Suspicious
Microsoft -> Ransom:Win32/DarkTrace.MA!MTB
Rising -> Trojan.Generic@AI.99 (RDML:fqCEx***); Trojan.Generic@AI.100 (RDML:8/EjuW81***)
Tencent -> Malware.Win32.Gencirc.10bee8db; Malware.Win32.Gencirc.10beed96
TrendMicro -> Ransom.Win32.DARKRACE.THFOBBC; Ransom.Win32.DARKRACE.THJAABC
---

© Генеалогия: родство выясняется >> DarkRace > DoNex

Сайт "ID Ransomware" идентифицирует DarkRace как DoNex (с 9 июля 2024). 

Информация для идентификации

Активность этого крипто-вымогателя была в конце мая - начале июня 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших было замечено 10 компаний. 

К зашифрованным файлам добавляется расширение: .1352FF327

Фактически в расширении используется ID жертвы. 

Кроме того, зашифрованные файлы получают оригинальный значки. 

Записка с требованием выкупа называется: Readme.1352FF327.txt
Фактически в названии используется ID жертвы. 

Содержание записки о выкупе:

~~~ DarkRace ransomware ~~~

>>>> Your data are stolen and encrypted

The data will be published on TOR website if you do not pay the ransom 

Links for Tor Browser:

http://wkrlpub5k52rjigwxfm6m7ogid55kamgc5azxlq7zjgaopv33tgx2sqd.onion

>>>> What guarantees that we will not deceive you? 

We are not a politically motivated group and we do not need anything other than your money. 

If you pay, we will provide you the programs for decryption and we will delete your data. 

If we do not give you decrypters, or we do not delete your data after payment, then nobody will pay us in the future. 

Therefore to us our reputation is very important. We attack the companies worldwide and there is no dissatisfied victim after payment.

>>>> You need contact us and decrypt one file for free on these TOR sites with your personal DECRYPTION ID

Download and install TOR Browser https://www.torproject.org/

Write to a chat and wait for the answer, we will always answer you. 

You can install qtox to contanct us online https://tox.chat/download.html

Tox ID Contact: ************************

Mail (OnionMail) Support: darkrace@onionmail.org

>>>> Warning! Do not DELETE or MODIFY any files, it can lead to recovery problems!

>>>> Warning! If you do not pay the ransom we will attack your company repeatedly again!

Перевод записки на русский язык:

>>>> Ваши данные украдены и зашифрованы

Данные будут опубликованы на TOR сайте, если вы не заплатите выкуп.

Ссылки для Tor браузера:

http://wkrlpub5k52rjigwxfm6m7ogid55kamgc5azxlq7zjgaopv33tgx2sqd.onion

>>>> Какие гарантии, что мы вас не обманем?

Мы не политически мотивированная группа и нам не нужно ничего, кроме ваших денег.

Если вы заплатите, мы предоставим вам программы для расшифровки и удалим ваши данные.

Если мы не предоставим вам расшифровщики или не удалим ваши данные после оплаты, то в дальнейшем нам никто платить не будет.

Поэтому для нас очень важна наша репутация. Мы атакуем компании по всему миру и после оплаты не осталось недовольных жертв.

>>>> Вам нужно связаться с нами и бесплатно расшифровать один файл на этих TOR сайтах с вашим личным DECRYPTION ID.

Загрузите и установите браузер TOR https://www.torproject.org/.

Пишите в чат и ждите ответа, мы всегда Вам ответим.

Вы можете установить qtox, чтобы связаться с нами онлайн https://tox.chat/download.html.

Tox ID Contact: ************************

Почтовая поддержка (OnionMail): darkrace@onionmail.org

>>>> Внимание! НЕ УДАЛЯЙТЕ и НЕ ИЗМЕНЯЙТЕ файлы, это может привести к проблемам с восстановлением!

>>>> Внимание! Если вы не заплатите выкуп, мы снова нападем на вашу компанию!

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Завершает ряд процессов со всеми заданиями: 

msaccess, outlook, excel, onenote, winword, powerpnt, oracle, sql, mysq, wuauclt, veeam, chrome, firefox

Удаляет теневые копии файлов с помощью следующих команд, затем перезагружает компьютер: 

wmic shadowcopy delete /nointeractive

vssadmin Delete Shadows /All /Quiet

wmic shadowcopy delete /nointeractive

C:\Windows\SysWOW64\shutdown.exe shutdown -r -f -t 0

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Readme.1352FF327.txt - название файла с требованием выкупа;

c.exe - название вредоносного файла;

1.bat - вредоносный командный файл;

icon.ico - иконка для визуализации зашифрованных файлов. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\ProgramData\1.bat

C:\ProgramData\icon.ico

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://wkrlpub5k52rjigwxfm6m7ogid55kamgc5azxlq7zjgaopv33tgx2sqd.onion

Tox ID: ***

Email: darkrace@onionmail.org
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 1933fed76a030529b141d032c0620117 

SHA-1: c55c60a23f5110e0b45fc02a09c4a64d3094809a 

SHA-256: 0e60d49a967599fab179f8c885d91db25016be996d66a4e00cbb197e5085efa4 

Vhash: 025056655d55556168z63hz23z25z17z 

Imphash: f6a114275ec71b0f9e53c5ebb7d8d51d

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: cb1c423268b1373bde8a03f36f66b495 

SHA-1: 892cd69f889b25cb8dc11b0ac75c330b6329e937 

SHA-256: 74b5e2d90daaf96657e4d3d800bb20bf189bb2cf487479ea0facaf6182e0d1d3 

Vhash: 025056655d55556168z62hz23z25z17z 

Imphash: 8c15953665973cafd1715edd2e4e4284

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

DarkRace Ransomware - май 2023

DoNex Ransomware - февраль, март 2024

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 5 марта 2024:

Самоназвание: DoNex Ransomware

Сообщение >>

Расширение: .f58A66B51 

Записка: Readme.f58A66B51.txt

Email: donexsupport@onionmail.org

Tox ID: 2793D009872AF80ED9B1A461F7B9BD6209744047DC1707A42CB622053716AD4BA624193606C9

Tor-URL: hxxx://g3h3klsev3eiofxhykmtenmdpi67wzmaixredk5pjuttbx7okcfkftqd.onion

 

➤ Расположения файлов, как в DarkRace:

C:\ProgramData\1.bat

C:\ProgramData\icon.ico

Зашифрованные файлы получают оригинальный значки, такие же, как в DarkRace. 

Активность этого варианта была в середине февраля - начале марта ноября 2024 г. В числе пострадавших компании из следующих стран: Италия, США, Германия, Нидерланды, Бельгия, Чехия и другие.

IOC: VT, IA, TG

➤ Обнаружения: 

DrWeb -> Trojan.MulDrop26.34134

BitDefender -> Gen:Heur.Ransom.Imps.1

ESET-NOD32 -> A Variant Of Win32/Agent.AEUZ

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Malwarebytes -> Ransom.FileCryptor

Microsoft -> Ransom:Win32/DarkTrace.MKV!MTB

Rising -> Trojan.Generic@AI.100 (RDML:Wmdc/FuE/ws2zjWnI++q5w)

Tencent -> Malware.Win32.Gencirc.10bfb722

TrendMicro -> Ransom.Win32.DARKRACE.THCOFBD

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

8Base

8Base Ransomware

8Base Hacking Group

(шифровальщик-вымогатель, группа вымогателей) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES-256 (режим CBC), а затем требует выкуп в # BTC, чтобы вернуть файлы. Адрес BTC-кошелька передаётся через чат вымогателей. Оригинальное название: 8Base. Вымогатели дают пострадавшим только три дня на выкуп, а на четвертый они обещают опубликовать данные на своём сайте. 

Как оказалось, вымогатели используют два варианта: один от Phobos (ссылка), другой от RansomHouse. 

© Генеалогия: Phobos и другие >> 8Base (на языке .NET) ⇒ 8Base (на языке C)

Сайт "ID Ransomware" идентифицирует это как 8Base (c 23 мая 2023). 

Информация для идентификации

Активность этого крипто-вымогателя была замечена в мае 2023 г., хотя началась в апреле 2023 г., судя по сообщениям на сайте в сети Tor.  

Используют метод двойного вымогательства: сначала похищают данные жертвы, потом шифруют их, затем требуют выкуп, угрожая опубликовать информацию. 

Ориентирован на англоязычных пользователей, может распространяться по всему миру. Цели: от крупных до мелких компаний, от юридических фирм до некоммерческих организаций в США, Бразилии, Великобритании, Австралии, Германии, Канаде и пр. 

К зашифрованным файлам добавляется расширение: .8Base

В зависимости от используемого варианта шаблон зашифрованного файла может быть следующим: 

.ID-XXXXXXXX.[<email>].8base

.id[XXXXXXXX-XXXX].[<email>].8base

Записки с требованием выкупа называются: info.txt, info.hta

Краткое содержание записки о выкупе:

Dear Management,

If you are reading this message, it means that: 

      - your network infrastructure has been compromised, 

      - critical data was leaked, 

      - files are encrypted

--------------------------------------------------------------------------

            The best and only thing you can do is to contact us 

              to settle the matter before any losses occurs.

Onion Site: ***246spahniugwkff2pad.onion/

Telegram Channel: ***eightbase

--------------------------------------------------------------------------

                                  1. THE FOLLOWING IS STRICTLY FORBIDDEN

1.1 EDITING FILES ON HDD.

                            Renaming, copying or moving any files 

                            could DAMAGE the cipher and 

                            decryption will be impossible. 

1.2 USING THIRD-PARTY SOFTWARE. 

                            Trying to recover with any software 

                            can also break the cipher and 

                            file recovery will become a problem.

1.3 SHUTDOWN OR RESTART THE PC. 

                            Boot and recovery errors can also damage the cipher. 

                            Sorry about that, but doing so is entirely at your own risk.

***

Начальная страница сайта вымогателей: 

Условия вымогателей:

Вымогатели о себе: 

Официальный логотип:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Кажется игнорирует страны СНГ. 

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки, добавляет свою копию в автозагрузку системы, отключает брандмауэр Windows. 

➤ Вырубает ряд процессов, мешающих шифрованию файлов:

agntsvc.exe, agntsvc.exe, agntsvc.exe, agntsvc.exe, dbeng50.exe, dbsnmp.exe, encsvc.exe, excel.exe, firefoxconfig.exe, infopath.exe, isqlplussvc.exe, msaccess.exe, msftesql.exe, mspub.exe, mydesktopqos.exe, mydesktopservice.exe, mysqld.exe, mysqld-nt.exe, mysqld-opt.exe, ocautoupds.exe, ocomm.exe, ocssd.exe, onenote.exe, oracle.exe, outlook.exe, powerpnt.exe, sqbcoreservice.exe, sqlagent.exe, sqlbrowser.exe, sqlservr.exe, sqlwriter.exe, steam.exe, synctime.exe, tbirdconfig.exe, thebat.exe, thebat64.exe, thunderbird.exe, visio.exe, winword.exe, wordpad.exe, xfssvccon.exe, 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
info.txt, info.hta - названия файлов с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:

Telegram Channel: hxxxs://t.me/eightbase

Twitter account: hxxxs://twitter.com/8BASEHOME

Tor-leak-site: 

hxxx://basemmnnqwxevlymli5bs36o5ynti55xojzvn246spahniugwkff2pad.onion/contact

Email: helpermail@onionmail.org

8filesback@onionmail.org

***@rexsdata.pro

Tor-URL: 

dexblog45.xyz

sentrex219.xyz

URLs (related addresses): 

admhexlogs25.xyz 

admlogs25.xyz 

admlog2.xyz 

blogstat355.xyz 

blogstatserv25.xyz 

dexblog.xyz 

dnm777.xyz 

serverlogs37.xyz 

wlaexfpxrs.org 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 9769c181ecef69544bbb2f974b8c0e10

SHA-1: 5d0f447f4ccc89d7d79c0565372195240cdfa25f

SHA-256: e142f4e8eb3fb4323fb377138f53db66e3e6ec9e82930f4b23dd91a5f7bd45d0

Vhash: 0250467d15151025z1006anz5fz

Imphash: 493c0587242c6f974644a1959b9764db

Еще варианты на основе Phobos:

C6BD5B8E14551EB899BBE4DECB6942581D28B2A42B159146BBC28316E6E14A64

518544E56E8CCEE401FFA1B0A01A10CE23E49EC21EC441C6C7C3951B01C1B19C

Подробный отчет можно скачать по ссылке:

www.hhs.gov/sites/default/files/8base-ransomware-analyst-note.pdf

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 13 ноября 2023:

Версия, написанная на языке C.

Расширение: .8base

Пример расширение: .id[ACFEEEC3-3483].[recovery8files@onionmail.org].8base

Записка: info.txt, info.hta

Email: recovery8files@onionmail.org

Статья от Fortinet >>

 

IOC: VT: MD5: 87d6d2488b1260e70f4042bf1f292529
Обнаружения:

DrWeb -> Trojan.Encoder.31543

ESET-NOD32 -> A Variant Of Win32/Filecoder.Phobos.C

Kaspersky -> HEUR:Trojan-Ransom.Win32.Phobos.vho

Microsoft -> Ransom:Win32/Phobos.PM

Symantec -> Ransom.Phobos!gm1

Tencent -> Trojan-Ransom.Win32.Phobos.fa

TrendMicro -> Ransom.Win32.CRYSIS.SMA

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 Added later: Overview by Fortinet (December 28, 2023)

 Thanks: 
 Threatlabz
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.