DarkLulz

DarkLulz Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в $50 в XMR, чтобы вернуть файлы. Оригинальное название: DarkLulz. На файле написано: rbf.exe, rbf2.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.42510
BitDefender -> Trojan.GenericKD.76712100
ESET-NOD32 -> A Variant Of WinGo/Filecoder.DarkLulz.B
Kaspersky -> Trojan-PSW.Win32.Stealer.crpi
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.LockFile!8.12D75 (CLOUD)
Tencent -> Win32.Trojan.LummaStealer.Azlw
TrendMicro -> Ransom.Win64.DARKLULZ.SM.go
---

© Генеалогия: Prince >> DarkLulz

Сайт "ID Ransomware" DarkLulz пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была во второй половине июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .DarkLulz

Записка с требованием выкупа называется: README_1.txt

Краткая версия записки (без рисунка): 

Содержание записки о выкупе:

~~~ All your files have been encrypted by DarkLulz Ransomware. ~~~

-> How can you trust us?

[+] - We create ransomware to target countries, companies, and more. 

    - Our goal is money. We've been working in ransomware for over 2 years.

-> How can I recover them?

[+] - To recover your files, you must pay $50 crypto of XMR (Monero) to the 

following address : 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

-> How does payment with XMR work?

[+] - Install a crypto wallet that accepts XMR, such as Monero GUI Wallet or MyMonero.

    - Buy $50 in XMR (Monero).

    - Send the amount of crypto to our address below: 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

    - NOTE YOUR TRANSACTION ID ON A PAPER. This is crucial for restoring your files.

-> How is the recovery phase of your files going?

[+] - Send your transaction ID to the following email address: darklulz@onionmail.org.

    - Once completed, we'll respond within 24 hours and send you the decryption software.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README_1.txt - название файла с требованием выкупа;

rbf.exe - название вредоносного файла; 

rbf2.exe - название другого вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: darklulz@onionmail.org
XMR: 48rfzP48LFvfkMNC5hh5Gsg6jQuWtrs8AFV4o8whchCKW1gDHvo4oJEEp4nyp6h8GZ3nQLnHgiaeVDPKhsBwZ3cpRsWKpbD

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: d89899b6322966009d082a7830e0d07e 

SHA-1: ab295bd0ca6115a4a00c2fc573de17dbe0044c26 

SHA-256: c632d6ab280979c087ba071454d27d5bc7374aeb3ed9e030567e12276d0229d4 

Vhash: 0360f6655d15551555757az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 4aaf857e0caaf12929b2416299d3aa3e 

SHA-1: 7790f069460722b84ab728296999df847aa9ab02 

SHA-256: 7ba3fb5590832e388d4c6742c046ccceb42be8402613a384c270a04256d32b91 

Vhash: 0360f6655d15551555757az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Prince Ransomware с вариантами - июль-ноябрь 2024

CrazyHunter Ransomware - апрель-май 2025

HexaLocker Ransomware - январь 2025  или раньше

HexaLocker-2 Ransomware - апрель 2025 или раньше

DarkLulz Ransomware - июнь 2025

CyberVolk Ransomware (hackerk4) - вариант июня 2025

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PaduckLee
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

DireWolf

DireWolf Ransomware

DireWolf Doxware

DireWolf Hacking Group

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов Curve25519 и ChaCha20, а затем требует связаться с вымогателями через чат на сайте в сети Tor, или через email вымоагтелей, чтобы узнать как заплатить выкуп и вернуть свои файлы. Оригинальное название: DireWolf. Написан на языке программирвоания Go. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.42458, Trojan.Encoder.42473
BitDefender -> Trojan.Generic.38142181, Trojan.Generic.38138312
ESET-NOD32 -> A Variant Of WinGo/Filecoder.JB, analogically
Kaspersky -> Trojan.Win32.DelShad.nrj, Trojan.Win32.DelShad.nrn
Malwarebytes -> Ransom.FileCryptor, analogically
Microsoft -> Trojan:Win32/Casdet!rfn, Ransom:Win64/DireWolf.A
Rising -> Ransom.Agent!1.129F5 (CLOUD), Ransom.Agent!1.129F5 (CLASSIC)
Tencent -> Win32.Trojan.Delshad.Ydkl, Win32.Trojan.Delshad.Jtgl
TrendMicro -> Ransom.Win64.DIREWOLF.THFBOBE, Ransom.Win64.DIREWOLF.THFBDBE
---

© Генеалогия: нет данных о родстве DireWolf

Сайт "ID Ransomware" идентифицирует DireWolf c 29 мая 2025 г. 

Информация для идентификации

Активность вымогателей была замечена в конце мая — начале июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших компании из разных стран:  США, Таиланд, Австралия, Бахрейн, Индия, Италия, Канада, Мексика, Сингапур, Тайвань, Франция. 

К зашифрованным файлам добавляется расширение: .direwolf

Записка с требованием выкупа называется: HowToRecoveryFiles.txt

Содержание записки о выкупе: 

Dear Mr or Ms, 

If you are reading this message, it means that: 

- your network infrastructure has been compromised

- critical data was leaked

- files are encrypted

--------------------------------------------------------------------------

The best and only thing you can do is to contact us

to settle the matter before any losses occurs. 

--------------------------------------------------------------------------

We can maintain confidentiality for 3 days for you, during which we will not disclose any information about your intrusion or data leakage. 

We can extend the confidentiality period free of charge until we reach an agreement if you contact us within 3 days and communicate effectively with us.

If the confidentiality period expires, we will disclose the relevant information. 

We provide complimentary decryption testing services. For specific details, please contact us.

--------------------------------------------------------------------------

We have provided a sample document as proof of our possession of your files and you can download and check it: 

- hxxxs://gofile.io/d/3*****

Please be advised that your files are scheduled for public release after 30 working days. 

If you want to secure your files, we urge you to reach out to us at your earliest convenience.

--------------------------------------------------------------------------

Contact Details:

- live chat room:

- url:hxxx://direwolf3ddtab5anvhulcelauvoxu2a7l264hqs6vtxtgrqsjfvodid.onion/ 

- roomID: thairung

- username: tha*****

- password: E27*****

-------------------------------------------------------------------------- 

Our official website:

- url:hxxx://direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd.onion/

--------------------------------------------------------------------------

How to access .onion website: 

1.Download and install TOR Browser https://torproject.org

2.Open it and try to access our onion address

3.Maybe you need to use VPN if it can not open our onion address

Скриншоты с сайта вымогателей:

Скриншоты с тестовой машины:

выполняется шифрование

записка о выкупе

 

варианты сообщения на разных версиях Windows

последующая перезагрузка

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Перед шифрованием завершает ряд процессов, отключает некоторые антивирусные программы, чтобы беспрепятственно шифровать все файлы. кроме тех, что находятся в списке исключений. 

Удаляет теневые копии файлов через vssadmin и wmic, отключает и удаляет резервное копирование Windows, очищает журналы событий Windows, отключает функции восстановления и исправления Windows на этапе загрузки командами:

vssadmin delete shadows /all /quiet

wmic shadowcopy delete /nointeractive

wbadmin disable backup -quiet

wbadmin delete backup -keepVersions:0 -quiet

wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0 -quiet

wbadmin delete catalog -quiet

bcdedit /set {default} recoveryenabled No

bcdedit /set {default} bootstatuspolicy ignoreallfailures

wevtutil cl Application

wevtutil cl system

wevtutil cl security

wevtutil cl setup

Похищает данные из браузеров.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Список исключений:

.exe, .dll, .sys, .drv, .bin, .tmp, .iso, .img, .direwolf

Файлы, связанные с этим Ransomware:
HowToRecoveryFiles.txt - название файла с требованием выкупа;
data345.exe - название вредоносного файла;

runfinish.exe - специальный файл на диске C, сбрасываемый после шифрования, который ищет шифровальщик, чтобы проверить — были ли зашифрованы файлы. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\runfinish.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
Global\direwolfAppMutex

Наличие этого мьютекса гарантирует, что только один экземпляр шифровальщика запускается в данный момент времени.

См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd.onion

hxxx://direwolf3ddtab5anvhulcelauvoxu2a7l264hqs6vtxtgrqsjfvodid.onion

QTox ID: B344BECDC01A1282F69CB82979F40439E15E1FD1EF1FE9748EE467F5869E2148E6F1E55959E2

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

 

Результаты анализов: 

IOC: VT, IA, TG

MD5: a71dbf2e20c04da134f8be86ca93a619 

SHA-1: ed7c9fbd42605c790660df86b7ec325490f6d827 

SHA-256: 8fdee53152ec985ffeeeda3d7a85852eb5c9902d2d480449421b4939b1904aad 

Vhash: 07503e0f7d1bz4!z 

Imphash: 6ed4f5f04d62b18d96b26d6db7c18840

---

IOC: VT, IA, TG

MD5: aa62b3905be9b49551a07bc16eaad2ff 

SHA-1: 4a5852e9f9e20b243d8430b229e41b92949e4d69 

SHA-256: 27d90611f005db3a25a4211cf8f69fb46097c6c374905d7207b30e87d296e1b3 

Vhash: 026066655d5d15541az28!z 

Imphash: f0ea7b7844bbc5bfa9bb32efdcea957c

Степень распространённости: высокая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 ***

 Thanks: 
 DarkFeed, Bitshadow, petik, PaduckLee
 Andrew Ivanov (article author)
 Trustwave
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Veluth

Veluth Ransomware

Veluth Decrypter 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем предлагает связаться с помощью приложения Signal или найти файл VeluthDecrypter на Рабочем столе и расшифровать файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Siggen31.36635 / ***
BitDefender -> Generic.Malware.SPH2.DB1B6F02 / Gen:Variant.Tedy.768861
ESET-NOD32 -> Win64/Filecoder.YD / A Variant Of WinGo/Filecoder.LY
Kaspersky -> HEUR:Trojan.Win32.Generic
Microsoft -> Trojan:Win32/Sabsik.EN.A!ml / Program:Win32/Wacapew.C!ml
Rising -> Ransom.Agent!1.129F5 (CLASSIC) / Trojan.Undefined!8.1327C (CLOUD)
Tencent -> Malware.Win32.Gencirc.149499db
TrendMicro -> Trojan.Win32.VSX.PE04C9Z / TROJ_GEN.R002H09F125
---

© Генеалогия: родство выясняется >> Veluth

Сайт "ID Ransomware" Veluth пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был обнаружен в конце мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .veluth

Записка с требованием выкупа называется: !!!READ_ME_VELUTH!!!.txt

Содержание записки о выкупе:

ID: 2Z4NPWQ01IW****

!!! YOUR FILES HAVE BEEN ENCRYPTED BY VELUTH !!!

To recover your data, you must:

1. Contact us via Signal (Available on PlayStore & Apple Store): @Veluth.01

2. Provide your ID shown above

3. Comply with our orders

4. You will receive decryption software after you have maintained our orders

WARNING:

- Do NOT modify encrypted files.

- Do NOT attempt decryption without our tools.

- If you do you your files will be irrecoverable.

- If you don't contact us within 24 hours your files will be encrypted FOREVER.

REMEMBER NO LAW ENFORCEMENT CANT SAVE YOU ONLY WE CAN DECRYPT YOUR FILES!

В аккаунте foss-relations на github.com содержится изображение с информацией для дешифрования. 

Содержание текста на изображении:

Woah! Looks like your shit has been encrypted by Veluth.

To Decrypt your files, Open "VeluthDecrypter" on Desktop or Start Menu.

If you cannot find, the program then your antivirus removed the decrypt software or you deleted it. To restore it please unquarantine it on your antivirus program.

Keep in mind the decryption software is necessary for the file decryption using key.

# QNA on "veluth.readme.txt" .

То есть создатель программы предлагает найти на рабочем столе или в карантине антивируса файл VeluthDecrypter.exe и расшифровать файлы без уплаты выкупа. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

.3GP, .7Z, .AAC, .ABAP, .ACCDB, .ADA, .AES, .AI, .AIFF, .AMR, .APE, .ARC, .AS, .ASC, .ASF, .ASM, .ASP, .AVI, .BACKUP, .BAK, .BASH, .BAT, .BMP, .BRD, .BZ2, .C, .CGM, .CLASS, .CLJ, .CMD, .COB, .CPP, .CR, .CRT, .CS, .CSR, .CSV, .D, .DB, .DBF, .DCH, .DER, .DIF, .DIP, .DJVU, .DOC, .DOCB, .DOCM, .DOCX, .DOT, .DOTM, .DOTX, .DWG, .EDB, .EML, .EPS, .EX, .EXS, .F, .F4V, .F90, .F95, .FLA, .FLAC, .FLV, .FRM, .GIF, .GO, .GPG, .GZ, .H, .HEIC, .HPP, .HWP, .HX, .IBD, .ICO, .IPYNB, .ISO, .JAR, .JAVA, .JPEG, .JPG, .JS, .JSP, .JSX, .KEY, .KT, .KTS, .LAY, .LAY6, .LDF, .LSP, .LUA, .LUOP, .LZH, .M, .M2TS, .M4A, .M4V, .MAX, .MDB, .MDF, .MID, .MKV, .ML, .MML, .MOV, .MP3, .MP4, .MPEG, .MPG, .MSG, .MTS, .MYD, .MYI, .NEF, .NIM, .ODB, .ODG, .ODP, .ODS, .ODT, .OGG, .ONETOC2, .OPUS, .OST, .OTG, .OTP, .OTS, .OTT, .P, .PAQ, .PAS, .PDF, .PEM, .PFX, .PHP, .PL, .PNG, .POT, .POTM, .POTX, .PPAM, .PPS, .PPSM, .PPSX, .PPT, .PPTM, .PPTX, .PSD, .PST, .PY, .PYW, .QL, .R, .RAR, .RAW, .RB, .RE, .RKT, .RS, .RTF, .SCH, .SCM, .SH, .SLDM, .SLDX, .SLK, .SLN, .SML, .SNT, .SQL, .SQLITE, .SQLITE3, .SQLITEDB, .STC, .STD, .STI, .STW, .SUO, .SV, .SVG, .SWF, .SWIFT, .SXC, .SXD, .SXI, .SXM, .SXW, .TAR, .TBK, .TGZ, .TIF, .TIFF, .TS, .TSX, .TXT, .UOT, .V, .VB, .VBA, .VBS, .VCD, .VDI, .VHD, .VHDX, .VMDK, .VMX, .VOB, .VSD, .VSDX, .WAV, .WEBM, .WEBP, .WKS, .WMA, .WMV, .XLC, .XLM, .XLS, .XLSB, .XLSM, .XLSX, .XLT, .XLTM, .XLTX, .XLW, .XZ, .ZIP, .ZSH  

Файлы, связанные с этим Ransomware:
!!!READ_ME_VELUTH!!!.txt - название файла с требованием выкупа;
veluth.exe - название вредоносного файла;

VeluthDecrypter.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
Global\VeluthRansomwareInstance

См. ниже результаты анализов.

Сетевые подключения и связи:
Signal: @Veluth.01

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: de17d587e4e70e4eba14ed51a0dd57dd 

SHA-1: c06cc2622c5544ba39ed7c2f3dc904b4e99b3ccc 

SHA-256: c9f3ecf7342fa7ed94061f0bb906f04bc8789c14fb80b3bf2f656e7954a9e39b 

Vhash: 0940a65d157d05151c051133z12z317z37z43z21z8bz 

Imphash: 27b05b2176448fb659053a795c1d5cbe

---

IOC: VT, HA, IA, TG, AR

MD5: 263f232fb3a41f96b758c9f32c9768f1 

SHA-1: e2184a091f21032fcdd1bf66dae18b19689560d2 

SHA-256: 5fa602428b77ab30beccb0ef1f566de5461abb91bf168acb982074a7761d9286 

Vhash: 0940a65d157d05151c051133z12z2f7z37z43z21z8bz 

Imphash: e8841ffb160c17a8a596367a324ceb45

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 1 июня 2025:

Записка: veluth.readme.txt

Файл: eluthist.exe

IOC: VT, IA, TG

MD5: 61105859aeff2053065b5d479d710cad 

SHA-1: 96fb8bb8aad43a08d983dad4bb1fb51cdbc97d9e 

SHA-256: a7a98ca295fc50e3feec3ee0e8a147afa9e53223bf11bc1262cf211dea731d83 

Vhash: 017086655d55551d15541az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.42303

BitDefender -> Gen:Variant.Tedy.768861

ESET-NOD32 -> A Variant Of WinGo/Filecoder.LY

Malwarebytes -> Generic.Malware.AI.DDS

Microsoft -> Program:Win32/Wacapew.C!ml

Rising -> Trojan.Undefined!8.1327C (CLOUD)

TrendMicro -> TROJ_GEN.R002H09F125

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Bitshadow
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

GopherWare

GopherWare Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью  алгоритма SHA-256, а затем просто сообщает о том, что случилось. Оригинальное название: Gopher и GopherWare. На файле написано: gopher.exe.

---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> MSIL/Filecoder.BKL
Kaspersky -> Trojan-Ransom.Win32.Encoder.adkh
Malwarebytes -> ***
Microsoft -> ***
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.148bbb5b
TrendMicro -> ***
---

© Генеалогия: родство выясняется >> GopherWare

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .gph

Тексты с требованием выкупа и результата расшифровки файлов пишутся на экране блокировки: 

Содержание текста от вымогателей:

LOOKS LIKE YOU MESSED UP! YOUR FILES HAVE BEEN PERMANENTLY ENCRYPTED BY GOPHERWARE 

(WHAT HAPPENED?) YOUR FILES HAVE BEEN ENCRYPTED USING THE SHA265 ENCRYPTION ALGORITIHIM DONT EVEN TRY AND RECOVER THEM AS YOU WILL JUST END UP BREAKING THEM LOLOLOLOL

Перевод записки на русский язык:

ПОХОЖЕ, ТЫ ОБЛАЖАЛСЯ! ТВОИ ФАЙЛЫ НАВСЕГДА ЗАШИФРОВАНЫ GOPHERWARE

(ЧТО СЛУЧИЛОСЬ?) ТВОИ ФАЙЛЫ ЗАШИФРОВАНЫ С АЛГОРИТМОМ ШИФРОВАНИЯ SHA265. 

ДАЖЕ НЕ ПЫТАЙСЯ ВОССТАНОВИТЬ ИХ, ТАК ТЫ ИХ ПРОСТО ИСПОРТИШЬ LOLOLOLOL

Другой текст, который выводится на экране:

Enter passkey to decrypt:

Incorrect passkey. Try again.

Passkey accepted. Decrypting files...

Your files have been restored, it is now safe to close this window. Press any key to exit...

[ALERT] Corrupted file structure. Deleting:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
gopher.dll, gopher.exe - названия вредоносных файлов.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\gopher.exe

C:\Users\Deau4th\source\repos\gopher\gopher\obj\Release\net8.0\win-x64\gopher.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: e978ed8661add9e3a1a75c16aea82154 

SHA-1: 906ae72caef3ab8cc7832667c7fe8da41db14457 

SHA-256: 1c48b66677f3ce0db85a38156c71d61f5afefa8c1bbe8cb5538e920778a63a56 

Vhash: 0670a666155d156d1d055148zc46z121c5z13z2ez5 

Imphash: 4b1892ce4fbcfcf064c6f69d693fc6a5

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.