Maui Ransomware
MauiCrypt Ransomware
Maui Hand-Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Обнаружения:
DrWeb -> Trojan.Encoder.35555
BitDefender -> Trojan.GenericKD.50592086, Gen:Variant.Zusy.422033
ESET-NOD32 -> A Variant Of Win32/Filecoder.OLU
Kaspersky -> HEUR:Trojan-Ransom.Win32.Agent.gen
Malwarebytes -> Ransom.Maui, Ransom.FileCryptor
Microsoft -> Trojan:Win32/Casdet!rfn
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Symantec -> Trojan.Gen.2, Trojan Horse
Tencent -> Win32.Trojan.Filecoder.Oyom, Win32.Trojan.Filecoder.Hssk
TrendMicro -> Ransom.Win32.MAUICRYPT.YACC5, Ransom.Win32.MAUICRYPT.SMYACC5
© Генеалогия: ??? >> Maui
Информация для идентификации
Первый образец этого крипто-вымогателя был найден в конце мая 2021 г., хотя он и другие были созданы 15 апреля 2021. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
К зашифрованным файлам никакое расширение не добавляется.
Добавляет в начало зашифрованных файлов маркер "TPRC" + исходный размер файла (выделенная область на скриншоте). Кроме того сохраняет исходное имя файла и папки в очень странном формате.
Добавляет в начало зашифрованных файлов маркер "TPRC" + исходный размер файла (выделенная область на скриншоте). Кроме того сохраняет исходное имя файла и папки в очень странном формате.
В основном все атаки направлены на Healthcare and Public Health (HPH) - организации здравоохранения в США. ФБР считает, что это хакеры из Северной Кореи проводили шифрование серверов, отвечающих за медицинские услуги, включая службы электронных медицинских карт, службы диагностики, службы визуализации и службы интрасети.
Записка с требованием выкупа не используется или по каким-то причинам не оставляется.
✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Подробности о шифровании:
Файлы шифруются с помощью AES в режиме CBC с использованием 32-байтового ключа, генерируемого для каждого файла. Ключи имеют префикс в виде жестко закодированной строки dogd, за которой следуют 28 байт, сгенерированных с помощью RAND_bytes().3
Каждый файл, зашифрованный Maui, содержит пользовательский заголовок, позволяющий
вредоносной программе идентифицировать зашифрованные файлы. Этот заголовок включает исходный путь к файлу и копию AES-ключа, зашифрованную с помощью открытого ключа RSA).
Из малого числа образцов неясно, является ли этот жестко закодированный открытый ключ уникальным для кампаний, целевых сетей или отдельных операторов.
Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Пропускаемые файлы:
.bat, .cmd, .com, .exe
Файлы, связанные с этим Ransomware:
Maui.exe - название вредоносного файла;
aui.exe - название вредоносного файла;
proc.exe - название вредоносного файла;
maui.evd - закрытый RSA-ключ, генерируемый во время выполнения, зашифрованный с помощью жестко заданного открытого ключа;
maui.key - открытый RSA-ключ, генерируемый во время выполнения, кодируется с помощью XOR-ключа, сгенерированного на основе информации с жесткого диска;
maui.log - файл журнала с результатами выполнения;
dgod.bat, demigod.key - специальный файлы.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
MD5: 4118d9adce7350c3eedeb056a3335346
SHA-1: c0e6d59e99e4adb58a2f57abf0deba61dee55c2f
SHA-256: 5b7ecf7e9d0715f1122baf4ce745c5fcd769dee48150616753fec4d6da16e99e
Vhash: 075056655d55555038z6enz3fz
Imphash: b7270585cf85c21db1df48e009263fb6
---
MD5: 2d02f5499d35a8dffb4c8bc0b7fec5c2
SHA-1: 870ccd59ad2d3808c014c7c1dcc8a54de375db0c
SHA-256: 830207029d83fd46a4a89cd623103ba2321b866428aa04360376e6a390063570
Vhash: 075056655d55555038z6enz3fz
Imphash: b7270585cf85c21db1df48e009263fb6
---
MD5: 9b0e7c460a80f740d455a7521f0eada1
SHA-1: 271b90824c7bb1de98c7fa9dae6dcd59d8a0bd64
SHA-256: 45d8ac1ac692d6bb0fe776620371fca02b60cac8db23c4cc7ab5df262da42b78
Vhash: 075056655d55555038z6enz3fz
Imphash: b7270585cf85c21db1df48e009263fb6
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support *
Added later: Write-up + Write-up (on July 6, 2022)
Thanks: Michael Gillespie Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
