Sorry 2026

Sorry 2026 Ransomware

SorryGo Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные на сайтах и Linux-серверах помощью комбинации алгоритмов AES+RSA-2048, а затем требует выкуп, чтобы вернуть файлы. Сообщение от вымогателей внедряется в код веб-сайта и показывается на страницах и в некоторых случаях многократно повторяется. Оригинальное название: в записке не указано. Написан на языке программирования Go. 

---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> Sorry 2026 (SorryGo)

Сайт "ID Ransomware" пока отдельно Sorry 2026 Ransomware не идентифицирует. Старая идентификация по расширению .sorry связана с Sorry HT Ransomware (2018 г.), который основан на HiddenTear. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце апреля — начале мая 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .sorry

Записка с требованием выкупа называется: README.md

Содержание записки о выкупе:

Please contact us through the qtox tool

Download qtox hxxxs://github.com/qTox/qTox/blob/master/README.md#qtox 

If you can't contact us, please contact some data recovery company(suggest taobao.com), may they can contact to us.

Add our TOX ID and send an encrypted file and 'Sorry-ID' for testing decryption.

Our TOX ID: 3D7889AEC00F2325***

Примеры того, как сообщение от вымогателей внедряется в код веб-сайта и показывается на его страницах.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Внедряется через выявленную уязвимость в WHM (WebHost Manager).

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.md - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 rivitna, jbbjunior
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Rex, Rex48

Rex Ransomware

Rex48 Ransomware

Dementor Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем сообщает о взломе сети и требует выкуп за расшифровку файлов. Оригинальное название: в записке не указано. На файле написано: 0ra9cvl3.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.44943
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> Win64/Filecoder.Dementor.B Trojan
Kaspersky -> Trojan-Ransom.Win32.Encoder.ahex
Malwarebytes -> PasswordStealer.Spyware.Stealer.DDS
Microsoft -> Trojan:Win32/Ravartar!rfn
Rising -> Ransom.Dementor!8.1DB60 (TFE:5:IXiVokobZTU)
Tencent -> Malware.Win32.Gencirc.11e5a799
TrendMicro -> Ransom.Win64.DEMENTOR.TL0101E226ZZ
---

© Генеалогия: родство выясняется >> Rex (Rex48)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце апреля 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .rex48 или с другой цифрой на конце.


Записка с требованием выкупа называется: RANSOM_NOTE.html

Содержание записки о выкупе:

Your personal ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE WILL PERMANENTLY CORRIPT IT. DO

NOT MODIFY ENCRYPTED FILES. DO NOT RENAME ENCRYPTED FILES.

No software available on internet can help you. We are the only ones able to solve your problem. We gathered highly confidential personal data. These data are currently stored on a private server. This server will be immediately destroyed after your payment. If you decide to not pay. we will release your data to public or re-seller. So you can expect your data to be publicly available in the near future.. We only seek money and our goal is not to damage your reputation or prevent your business from running. You will can send us 2-3 non-important files and we will decrypt it for free to prove we are able to give your files back.

Contact us for price and get decryption software.

Email:

recovery2@salamati.vip

recovery2@amniyat.xyz

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RANSOM_NOTE.html - название файла с требованием выкупа;
0ra9cvl3.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: recovery2@salamati.vip, recovery2@amniyat.xyz
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 9e9055b1a14e5a4466e735f54d344b87

SHA-1: 692c15eb37b396c451cb796e6f3567b855aa86f3

SHA-256: fa21235ec582cfd36a1b539bf1d7eeaf033209b72631dac5b6f36d2dab08500a

Vhash: 026056655d556550a8z35181z53z35z1lz

Imphash: bfd691ca28d94e5bbf3bb1010bcbcef7

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 pcrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

KryBit

KryBit Ransomware

(шифровальщик-вымогатель, RaaS, хакерская группа) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп от $40 000 до $100 000 в BTC, чтобы вернуть файлы. Оригинальное название: KRYBIT, указано в записке о выкупе. Целевые платформы: Windows, Linux, VMware ESXi, устройства NAS. Перед шифрованием хакерская группа эксфильтрует данные жертв. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.41942
BitDefender -> Generic.Ransom.Babuk.!s!.G.2B7CD25C
ESET-NOD32 -> Win32/Filecoder.Babyk.A Trojan
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.Babuk
Microsoft -> Trojan:Win32/Babuk!ic
Rising -> Ransom.Babuk!1.D7A0 (CLASSIC)
Tencent -> Trojan-Ransom.Win32.Filecoder.16000569
TrendMicro -> Ransom.Win32.BABUK.SMFRA
---

© Генеалогия: Babuk leaked code >> KryBit

Сайт "ID Ransomware" это пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была зафиксирована в марте-апреле 2026 года и продолжилась в течение года. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Цели: производство, здравоохранение, строительство, финансовые услуги, логистика, образование, технологии, розничная торговля, недвижимость, юридические услуги, правительство. 

Страны: Индия, США, Таиланд, Япония, Германия, Австрия, Мексика, Франция, Турция, Бразилия, ЮАР, ОАЭ и другие. 

К зашифрованным файлам добавляется расширение: .KRYBIT

Записка с требованием выкупа называется: RECOVER-README.txt

Содержание записки о выкупе:

--KRYBIT

Your network/system was encrypted.

Encrypted files have new extension.

--Blog

http://krybitxdpx********************************************d.onion

http://krybitx3fh********************************************d.onion

http://krybitqsdz********************************************d.onion

http://krybieodq7********************************************d.onion

-

-- Compromising and sensitive data

We have downloaded compromising and sensitive data from you system/network

If you refuse to communicate with us and we do not come to an agreement, your data will be published.

Data includes:

- Employees personal data, CVs, DL , SSN.

- Complete network map including credentials for local and remote services.

- Financial information including clients data, bills, budgets, annual reports, bank statements.

- Complete datagrams/schemas/drawings for manufacturing in solidworks format

- And more...

-- Warning

If you modify files - our decrypt software won't able to recover data

If you use third party software - you can damage/modify files (see item 1)

You need cipher key / our decrypt software to restore you files.

The police or authorities will not be able to help you get the cipher key. We encourage you to consider your decisions.

-- Recovery

1) Download tor browser: hxxps://www.torproject.org/download/

2) Visit the chat: ***

3) Use this ID to log in: ***

4) Supp: ***

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Завершает жёстко заданный список служб и процессов для разблокировки файлов (например, баз данных) и использует API диспетчера перезапуска Windows (RmStartSession, RmGetList) для принудительного закрытия приложений, хранящих дескрипторы целевых файлов. 

Перечисляет локальные диски, скрытые тома и сетевые ресурсы (через NetShareEnum и WNetOpenEnumW), чтобы максимально увеличить область шифрования. 

Удаляет теневые копии томов с помощью команды: 

vssadmin.exe delete shadows /all /quiet 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RECOVER-README.txt - название файла с требованием выкупа;
faktura.exe, xc5h3.exe - названия вредоносных файлов.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URLs: krybitxdpxohsmjooeb3gbgpmdddreh6mnflzac6bnezz74b7yje67yd.onion

krybieodq754vlwufrsuxaswxb5zpxyibaawmed2jaduoz2e5m56hmid.onion

krybitqsdzwmhnitvwuhvsntfgf2wrhxveyxroxpc44c6gkft2cqldyd.onion

ijzn3sicrcy7guixkzjkib4ukbiilwc3xhnmby4mcbccnsd7j2rekvqd.onion

j75o7xvvsm4lpsjhkjvb4wl2q6ajegvabe6oswthuaubbykk4xkzgpid.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 93f8cb3b8b2e4e4ec8d06263f68c953e

SHA-1: 32a185b9d6413a68b7c340cf9c65dcd892e2bde4

SHA-256: dab06e47581b87c21699bb1126b7cb2370cf86d069ad25b9b86cff8e450d7e29

Vhash: 0840565d1555155098z391z2dz33z1fz

Imphash: 202fa14f574c71c2f95878e40a79322d

Степень распространённости: средняя.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Группа хакеров-вымогателей KryBit имела конфликт с другой группой хакеров-вымогателей 0APT. 

Статья об этом >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

EDPT, PIZ

EDPT Ransomware

PIZ Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: EDPT (Emergency Data Protection Tool) . На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> EDPT

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была замечена с апреля по сентябрь 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .piz

Записка с требованием выкупа называется: 

_readme.txt

!!!_README.txt

могут быть другие варианты названий

Содержание записки о выкупе:

=== ENCRYPTED FILES RECOVERY ===

==========================

Your files have been encrypted!

Contact us for recovery:

Email: piztoreco@gmail.com

Do not attempt to decrypt files yourself!

-----------------------------------------------

Your ID: c9b4d74980cca525d5bcc4f5aa9b30a***

-----------------------------------------------

==========================

=== ENCRYPTED FILES RECOVERY ===

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_readme.txt или !!!_README.txt - названия файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: piztoreco@gmail.com
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Edward0303, rivitna
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Killada

Killada Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов ChaCha20-GNACH, а затем требует выкуп в 0.1111 BTC, чтобы вернуть файлы. Оригинальное название: Killada Ransomware. На файле написано: killada.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.44675
BitDefender -> Trojan.GenericKD.79799674
ESET-NOD32 -> Win64/Filecoder.ALU Trojan
Kaspersky -> Trojan-Ransom.Win32.Encoder.agut
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Stealer.Greedy!8.133BA (CLOUD)
Tencent -> Win32.Trojan-Ransom.Encoder.Nqil
TrendMicro -> TROJ_FRS.VSNTCV26
---

© Генеалогия: родство выясняется >> Killada 

Сайт "ID Ransomware" Killada пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце марта 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: *нет данных*.

Записка с требованием выкупа называется: KILLADA_README.txt

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
KILLADA_README.txt - название файла с требованием выкупа;
killada.exe - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: killadaayyuzdshwskrnsvh5owzuwa4yj7gs2vbhkcjpfslrplfgwwqd[.]onion

killadaxczzw3wnuaxkygib67lk2qkgnki4gyjqoo76vh53egitoyaqd[.]onion

killadax36r6bbb3md67ekcfv5yasdlnoaklyag66ot4tefa32ywgnyd[.]onion

killadahaynpqrkppe2m2tgindbruaeiefzr7pm3cp47tzohhhnogwad[.]onion

killada7qgdpvzpezjxaa64b47bz47hzbn6oql5aa4lppzzwymnukqqd[.]onion

killada5556ahpb4cwmatv5qpzku2qmdlwawshtykpq37cvfva7zjhid[.]onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: f444568cedf788ef157356fea05bcc49

SHA-1: d449bd9a79062729e9a60064ed32ca8669d4a525

SHA-256: 75c4d15bddcd401088d1a9f0a3364382482ea0689427526a5d0919b375a9779c

Vhash: 055066655d155d055095zb00793z5hz6fz

Imphash: 53b37c3b9f37d7f06071a7dd9d5e5333

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Bitshadow
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Vect, Vect 2.0

Vect Ransomware

Vect 2.0 Ransomware

(шифровальщик-вымогатель, RaaS) 

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью алгоритма ChaCha20, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: Vect Ransomware. Написан на C++. Реализованы версии для Windows, Linux и ESXi. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.44641
BitDefender -> Trojan.GenericKD.79790997
ESET-NOD32 -> Win64/Filecoder.AJK Trojan
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Crypt.Trojan.MSIL.DDS
Microsoft -> Ransom:Win32/Avaddon.P!MSR
Rising -> Malware.Undefined!8.C (TFE:5:srMXcmKa5V)
Tencent -> Malware.Win32.Gencirc.10c44f90
TrendMicro -> Ransom.Win64.TRANCEV.THDBHBF
---

© Генеалогия: родство выясняется >> Vect, Vect 2.0

Сайт "ID Ransomware" идентифицирует Vect с 28 апреля 2026.

Информация для идентификации

Активность этого крипто-вымогателя началась в конце 2025 — начале 2026 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Сектор атакованных компаний: финансы, образование, логистика, здравоохранение, производство и др. Страны атакованных компаний: ЮАР, Индия, Бразилия, США, Намибия, Эквадор и др. 

К зашифрованным файлам добавляется расширение: .vect

Записка с требованием выкупа называется: !!!_READ_ME_!!!.txt

Содержание записки о выкупе:

!!! README !!!

Dear Management, all of your files have been encrypted with ChaCha20 which is an unbreakable encryption algorithm.

Sadly, this is not the only bad news for you. We have also exfiltrated your sensitive data, consisting mostly of databases, backups and other personal information

from your company and will be published on our website if you do not cooperate with us.

The only way to recover your files is to get the decryption tool from us.

To obtain the decryption tool, you need to:

1. Open Tor Browser and visit: -

2. Follow the instructions on the chat page

3. Receive a sample decryption of up to 4 small files

4. We will provide payment instructions

5. After payment, you will receive decryption tool

WARNING:

- Do not modify encrypted files

- Do not use third party software to restore files

- Do not reinstall system

If you violate these rules, your files will be permanently damaged.

Files encrypted: -

Total size: 121417406 bytes

Unique ID: ***

Backup contact (Qtox): 1A51DCBB33***

Записка вымогателей также написана на изображении, заменяющем обои Рабочего стола: 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

➤ Vect Ransomware как RaaS впервые появился на русскоязычном кибер-форуме в декабре 2025 года. В начале 2026 года группа вымогателей сообщила о первых двух жертвах и привлекла к себе внимание заявлением на BreachForums о партнерстве с TeamPCP, стоящей за несколькими атаками в марте 2026 года. Операторы Vect ищут "партнеров" через BreachForums, раздают ключи доступа в личных сообщениях. Согласно отчету Data Security Council of India (DSCI), с новичков они берут $250 в Monero, но с кандидатов из стран СНГ плату не взимают.

➤ Исключения: 

Vect завершает работу без шифрования файлов, если обнаруживает, что работает в любой из стран СНГ и даже Украине, что редко встречается в атаках после 2022 года. В Check Point считают, что это может указывать на старую кодовую базу или на генерацию части кода с помощью ИИ, обученного на устаревших данных.

➤ Особенности версий: 

Версия для Windows шифрует локальные, съемные и сетевые диски, проверяет наличие 44 ИБ-инструментов и отладчиков, закрепляется в системе через Safe Mode и содержит шаблоны скриптов для латерального перемещения. ESXi-вариант перед шифрованием запускает геофенсинг и антиотладочные проверки, а также пытается распространяться через  SSH. Linux-версия, в свою очередь, использует ту же кодовую базу, что и ESXi, однако обладает урезанным набором функций.

➤ Критическая ошибка: 

Check Point сообщают, что в версии Vect 2.0 для Windows, Linux и ESXi содержится критический баг. Вредонос разбивает каждый крупный файл (> 128 Кб, т.е. 131 072 байта) на четыре части и шифрует их независимо, генерируя для каждого блока свой "nonce" (размером в 12-байт), записывая все значения в один и тот же буфер памяти, в результате чего каждый новый "nonce" перезаписывает предыдущий, а первые три теряются: не сохраняются в файле и не отправляются операторам. Таким образом Vect 2.0 не только шифрует, но уничтожает примерно 75% содержимого файла. Уплата выкупа бесполезна, дешифратор не поможет, данные безнадёжно повреждены.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
!!!_READ_ME_!!!.txt - название файла с требованием выкупа;
dp6fd66.exe -  название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: aa72609186042f1d7d01ce070306a9f2

SHA-1: e27f4feffc1ba6bf4e35aec4a5270fccb636e5cf

SHA-256: e512d22d2bd989f35ebaccb63615434870dc0642b0f60e6d4bda0bb89adee27a

Vhash: 0160a76d1565555c0d1d10c5zc00715d037z19z55z37z

Imphash: d810a3536bf9eca80e4f8d1d08537d0b

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Write-up, Write-up, Topic of Support
 ***

 Thanks: 
 CheckPoint, TheHackerNews, BleepingComputer, Xakep.ru
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.