Doyuk

Doyuk Ransomware

Doyuk 2.0 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Doyuk. На файле написано: Encrypt.exe.
---
Обнаружения:
DrWeb ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---

© Генеалогия: Doyuk > Doyuk-2

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была во второй половине ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .doyuk2

Записка с требованием выкупа называется: Warning.txt

Содержание записки о выкупе:

All of your files have been encrypted!

There is no way to restore your data without a special software Doyuk 2.0 version.

To obtain the software, send an email to: keydoyuk@gmail.com

and tell us your unique ID: 64836E504F0A9DC91***

Перевод записки на русский язык:

Все ваши файлы зашифрованы!

Невозможно вернуть ваши данные без специальной программы Doyuk версии 2.0.

Чтобы получить программу, отправьте на email: keydoyuk@gmail.com 

и скажите нам ваш уникальный ID: 64836E504F0A9DC91***

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Warning.txt - название файла с требованием выкупа; 
Encrypt.exe - случайное название вредоносного файла. 

В коде содержится статический ключ. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: keydoyuk@gmail.com
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT: F4D8BB082B0D03EFD6990CC2F4336165

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Amogus

Amogus Ransomware

(шифровальщик-не-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, но никаких требований, чтобы вернуть файлы, не выводит. Оригинальное название: Amogus Ransomware by n00nehere. На файле написано: regolamento.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34608
BitDefender -> Gen:Variant.Jaik.48000
ESET-NOD32 -> A Variant Of Win32/Filecoder.OJJ
Kaspersky -> Trojan-Ransom.Win32.Encoder.okp
Malwarebytes -> Ransom.Amogus
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> TROJ_GEN.R03BC0PKP21
---

© Генеалогия: ??? >> Amogus

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден во второй половине ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .amogus

Записка с требованием выкупа не используется. Никаких дополнительных соообщения о выкупе не выводится. 

Весь процесс шифрования отражается на экране в окне командного файла. 

При проверке файлы оказались незашифрованными. Достаточно убрать у файлов добавленное расширение и файл откроется как обычно в приложении по умолчанию. На скриншотах ниже два таких незашифрованных файла с добавленным расширением. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Похищает учетные данные из веб-браузеров. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
regolamento.exe (4pwjqgym0.dll) - название вредоносного файла. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 5644517be1634a30b9c32c75d52c7aa6

SHA-1: 5047b5d7e2f352e9ba6efe47e6bc805550d3552d

SHA-256: b034243fc2a42e0c5dd70de9fa6c16d13fc1702330d68d3f885213064fd722d2

Vhash: 0451276d15555c0d5d1dbz1535=z

Imphash: fbfa9d513069fd72ca9b5351ec0cd541

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 15 декабря 2021: 

Сообщение >>

Расширение: .amogus

Файл: encryption.exe 

Результаты анализов: VT + AR

➤ Обнаружения:

DrWeb -> Trojan.Encoder.34645

BitDefender -> Gen:Variant.Amogus.1

ESET-NOD32 -> A Variant Of Win32/Filecoder.OJJ

Kaspersky -> Trojan-Ransom.Win32.Encoder.ooc

Malwarebytes -> Ransom.Amogus

Rising -> Ransom.Crypmodng!8.10C86 (TFE:5*

Symantec -> ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Filecoder.Pcix

TrendMicro -> Ransom_Encoder.R011C0WL921

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myMessage + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (article author)
 Petrovic
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

ChiChi

ChiChi Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128 + RSA-2048, а затем требует выкуп $300 в BTC, чтобы вернуть файлы. Оригинальное название: chichi, Version 1.0. На файле написано: e_win.exe. Может быть связана с северокорейской группой Lazarus APT. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.34535
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> A Variant Of Win32/Filecoder.Babyk.A
Kaspersky -> UDS:Trojan-Ransom.Win32.Generic
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Babuk.MAK!MTB
Symantec -> ML.Attribute.HighConfidenc
Tencent -> Win32.Trojan.Filecoder.Hqvr
TrendMicro -> Ransom_Babuk.R002C0DKG21
---

© Генеалогия: VHD modifies + Babuk modified >> ChiChi 

Сайт "ID Ransomware" идентифицирует это как ChiChi.

Информация для идентификации

К зашифрованным файлам добавляется расширение: .chichi 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 


Активность этого крипто-вымогателя была в середине ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. По некоторым данным связан с корейскими хакерами. 

Записка с требованием выкупа называется: Guide To Recover Your Files.txt

Содержание записки о выкупе:

!!! YOUR NETWORK ENCRYPTED !!!

What happend?

----------------------------------------------

Your computers and servers are encrypted, backups are deleted from your network and copied. We use strong encryption algorithms, so you cannot decrypt your data.

What guarantees?

----------------------------------------------

We guarantee that you can recover all your files safely and easily.

You can decrypt a single file for warranty - we can do it.

Find a *.chichi file on your computer and upload and get the original. (maximum file size - 512Kb)

Chat with support

But if you want to decrypt all your files, you need to pay.

Write to support if you want to buy decryptor.

How to contact us?

----------------------------------------------

Write to email :

semenov.akkim@protonmail.com, chichihao@protonmail.com, velbms@rediffmail.com, sonuamit555@rediffmail.com, smenov@bitmessage.de

How to Pay?

----------------------------------------------

You need pay $300,000

Payment has to be deposited in Bitcoin based on the Bitcoin/USD exchange rate at the moment of payment.

The address you have to make payment is:

bc1q0lasrt2qjgantwy0ylzrdttlmmz6ap09l8964g

Attention!

----------------------------------------------

Do not rename encrypted files. 

Do not try to decrypt your data using third party software, it may cause permanent data loss. 

You have to deposit payment within 72 hours (3 days) after receiving this message, otherwise, you will lose your files forever and we will start posting your data to the dark web. 

Перевод записки на русский язык:

!!! ВАША СЕТЬ ЗАШИФРОВАНА !!!

Что случилось?

----------------------------------------------

Ваши компьютеры и серверы зашифрованы, резервные копии удаляются из вашей сети и копируются. Мы используем надежные алгоритмы шифрования, поэтому вы не можете расшифровать свои данные.

Какие гарантии?

----------------------------------------------

Мы гарантируем, что вы сможете легко и безопасно восстановить все свои файлы.

На гарантии можно расшифровать отдельный файл - мы сделаем это.

Найдите на своем компьютере файл * .chichi, загрузите его и получите оригинал. (максимальный размер файла - 512Кб)

Общайтесь со службой поддержки

Но если вы хотите расшифровать все свои файлы, вам нужно будет заплатить.

Напишите в поддержку, если хотите купить дешифратор.

Как с нами связаться?

----------------------------------------------

Напишите на email:

semenov.akkim@protonmail.com, chichihao@protonmail.com, velbms@rediffmail.com, sonuamit555@rediffmail.com, smenov@bitmessage.de

Как платить?

----------------------------------------------

Вам нужно заплатить 300000 долларов

Платеж должен быть внесен в биткойнах по обменному курсу биткойн / доллар США на момент платежа.

Адрес, по которому вы должны произвести платеж:

bc1q0lasrt2qjgantwy0ylzrdttlmmz6ap09l8964g

Внимание!

----------------------------------------------

Не переименовывайте зашифрованные файлы.

Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к безвозвратной потере данных.

Вы должны внести платеж в течение 72 часов (3 дней) после получения этого сообщения, иначе вы потеряете свои файлы навсегда, и мы начнем публиковать ваши данные в темной сети.

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов с помощью команды: 

vssadmin.exe  delete shadows /all /quiet

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Guide To Recover Your Files.txt - название файла с требованием выкупа;
e_win.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Файловый маркер в конце: 

ChiChiL0ckerSign

Файловый маркер:

chichigotmanagedyou

Сетевые подключения и связи:
Email: semenov.akkim@protonmail.com, chichihao@protonmail.com, velbms@rediffmail.com, sonuamit555@rediffmail.com, smenov@bitmessage.de
BTC: bc1q0lasrt2qjgantwy0ylzrdttlmmz6ap09l8964g

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 2c1bacb056654515171bedadaecfe67e

SHA-1: d45f9fccbb7c4c1221e3eb4d7801fa0a5910012e

SHA-256: d81f751a2b47e3195fb035c804fc7a54d1c51426f759c53048bd9837663a101a

Vhash: 0650766d55551d15156098z87hz33zffz

Imphash: ed16be167ae2e3d113863cd24a37317b

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

PXJ Ransomware - февраль 2020

VHD Ransomware - март - июль 2020

Beaf Ransomware - апрель 2021

ChiChi Ransomware - ноябрь  2021

ZZZZ Ransomware - декабрь 2021

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 11 декабря 2021: 

Расширение: .chichi

Записка: Guide To Recover Your Files.txt

Файл: e_win.exe

IOC: Результаты анализов: VT + IA

MD5: 9830f350bfe14307afe43cece54cce43

SHA-1: 4dcdfb0cc4a5de60a570392aafad244eb16390ea

SHA-256: 98482d217a0817af06217d4f02fc8bc48b31b4636ab8ef870dd2ad5056e43aea

Vhash: 0650766d55551d15156098z871z2dz33zffz

Authentihash: 612b15bb76fd3476d0038ed62e42675b8d9c8ee05a699d70190a1d96024aeda0

Imphash: 99863fd45ab25d34dfc8b7470a1658a5

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34721

BitDefender -> Gen:Heur.Ransom.REntS.Gen.1

ESET-NOD32 -> A Variant Of Win32/Filecoder.Babyk.A

Malwarebytes -> Ransom.ChiChi

Microsoft -> Ransom:Win32/Babuk.MAK!MTB

Symantec -> ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Filecoder.Hsrw

TrendMicro -> Ransom_Babuk.R002C0DLB21

Вариант от 2 декабря 2021:

Расширение: .zzzz

Записка: ***

Email: semenov.akkim@protonmail.com, crastard@rediffmail.com, smenov@bitmessage.de, smenov@mail2tor.com

Обновление от 3 мая 2022:

Некоторые исследователи подтверждают наше предположение о связи с корейскими хакерами. Только он связывают это с хакерами из Северной Кореи. 

Статья на сайте BleepingComputer >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, dnwls0719
 Andrew Ivanov (article author)
 Daniel Gordon
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Fake WordPress Crypter

AzzEncrypt Ransomware

Fake WordPress Crypter Ransomware

(фейк-шифровальщик, вымогатель) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель делает вид, что шифрует данные на сайтах WordPress с помощью AES+RSA, а затем в отображаемых уведомлениях пытается обманом выманить у владельцев сайтов выкуп в 0.1 BTC за файлы. Сообщение сопровождается таймером отсчета времени, чтобы пострадавшие поторопились. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения: 
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Symantec -> 
Tencent -> 
TrendMicro -> 
---
© Генеалогия: ??? >> AzzEncrypt (Fake WordPress Crypter)

Сайт "ID Ransomware" идентифицирует это как Fake WordPress Crypter. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

Файлы на атакованных сайтах не зашифрованы, но имеют статус "null" и неопубликованы, потому не могут быть отображены на сайте. 

Записка с требованием выкупа показана на скриншоте: 

Содержание записки о выкупе:

SITE ENCRYPTED

7d 10h 21m 9s

FOR RESTORE SEND 0.1 BITCOIN: 3BkiGYFh6QtjtNCPNNjGwszoqqCka2SDEc

(create file on site /unlock.txt with transaction key inside)

Перевод записки на русский язык:

САЙТ ЗАШИФРОВАН 

7д 10ч 21м 9с 

ДЛЯ ВОССТАНОВЛЕНИЯ ОТПРАВИТЬ 0.1 БИТКОИН: 3BkiGYFh6QtjtNCPNNjGwszoqqCka2SDEc

(создать файл на сайте /unlock.txt с ключом транзакции внутри)

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Вероятно, злоумышленники вошли в систему как администраторы на сайте, либо путем подбора пароля, либо путем получения украденных учетных данных на рынках Даркнета. Судя по количеству сайтов, затронутых этой атакой (291 штук), это не была единичная атака. Скорее похоже на более широкую кампанию, направленную против сайтов на платформе WordPress. 

Для информации: 

Другие методы распространения вредоносного ПО и проведения последующей атаки: путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
azz_encrypt.php - файл вымогателя (плагин WordPress);

unlock.txt - название файла с ключом транзакции внутри.

Плагин WordPress, используемый для отображения заметок о выкупе и отсчета оставшегося времени, показан на следущем скриншоте. 

Чтобы восстановить сайт, нужно удалить этот плагин и запустить команду для повторной публикации сообщений и страниц. После этого сайт вернётся к своему нормальному состоянию.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: 3BkiGYFh6QtjtNCPNNjGwszoqqCka2SDEc

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, BleepingComputer
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

DST

DST Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью RSA-1024 + AES256-CFB, а затем в записке вымогатели предлагают жертве войти с ними в контакт через интернет-чат IRC, поддерживающий Socks Proxy. Насколько такая замороченная схема "поддержки" поможет пострадавшим вернуть файлы, неизвестно. Скорее всего вымогатели не получат никакого выкупа, а пострадавшие не вернут файлы. Оригинальное название: в записке не указано. На файле написано: lock.exe. Написан на языке Go.
---
Обнаружения:
DrWeb -> Trojan.Encoder.34475
BitDefender -> Trojan.GenericKD.37979135
ESET-NOD32 -> A Variant Of Generik.LYXLUWG
Kaspersky -> Trojan-Ransom.Win32.Encoder.oic
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Symantec -> Trojan.Gen.MBT
TrendMicro -> Ransom.Win64.DECAF.YXBKO
---

© Генеалогия: другие Go-вымогатели >> DST Ransomware

Сайт "ID Ransomware" идентифицирует это как DST Ransomware. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .dst

Записка с требованием выкупа называется: readme.txt

Содержание записки о выкупе:

ALL OF YOUR FILES HAVE BEEN ENCRYPTED !!!!!

[+] Whats Happen? [+]

Your files are now encrypted, and currently unavailable. 

By the way, everything is possible to recover (restore), but you need to follow our instructions. Otherwise, you cant return your data (NEVER) and it will be LEAKED.

[+] What guarantees? [+]

Its just a business. We absolutely do not care about you and your deals, except getting benefits.

If we do not do our work and liabilities - nobody will not cooperate with us. Its not in out interests.

If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data, cause just we have the private key.

In practise - time is much more valuable than money.

[+] How to get access on website? [+]

You have only one ways:

1) [RECOMMENDED] Using TOR Bundle!

    a) Download and run TOR Windows Bundle from this site: https://www.torproject.org/download/tor/

    b) Download any irc software that supports socks proxy (e.g HexChat

    c) Setup tor proxy for irc software ( default host: 127.0.0.1 port 9050

    d) Add http://y2cyumvhavcecc6kr5tpat5gdnz2lsw5ucjxbv7s2ggxsh7gj57omuyd.onion/6667 to your network list

    e) Set your nickname to nick@hostname

    f) Connect and join #support channel

2) If TOR blocked in your country, try to use VPN and try 1)

HERE IS YOUR USERID:f76621de-24cd-4ecf-bfc4-560beef*****

Send it to us for decryption

[*] If you don't receive a response, wait a while and resend it. [*]

Перевод записки на русский язык:

ВСЕ ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ !!!!!

[+] Что случилось? [+]

Ваши файлы зашифрованы и теперь недоступны.

Кстати, все можно вернуть (восстановить), но нужно следовать нашим инструкциям. Иначе вы не сможете вернуть свои данные (НИКОГДА), и они  УТЕКУТ.

[+] Какие гарантии? [+]

Это просто бизнес. Мы абсолютно не заботимся о вас и ваших сделках, кроме получения выгоды.

Если мы не будем выполнять свою работу и обязательства - никто с нами не будет сотрудничать. Это не в наших интересах.

Если вы не будете сотрудничать с нашим сервисом - для нас это не имеет значения. Но вы потеряете свое время и данные, потому что только у нас есть закрытый ключ.

На практике время гораздо дороже денег.

[+] Как получить доступ на сайт? [+]

У вас есть только один способ:

1) [РЕКОМЕНДУЕТСЯ] использовать пакет TOR!

    а) Загрузите и запустите пакет TOR Windows Bundle с этого сайта: https://www.torproject.org/download/tor/

    б) Загрузите любую программу irc, которая поддерживает socks proxy (например, HexChat

    c) Настройка tor proxy для программы irc (хост по умолчанию: 127.0.0.1 порт 9050

    г) Добавьте http://y2cyumvhavcecc6kr5tpat5gdnz2lsw5ucjxbv7s2ggxsh7gj57omuyd.onion/6667 в свой список сетей.

    д) Установите свой ник на nick@hostname

    е) Подключитесь и присоединитесь к каналу #support.

2) Если TOR заблокирован в вашей стране, попробуйте использовать VPN и попробуйте 1)

ЗДЕСЬ ВАШ ID ПОЛЬЗОВАТЕЛЯ: f76621de-24cd-4ecf-bfc4-560beef *****

Отправьте нам на расшифровку

[*] Если вы не получили ответа, подождите немного и отправьте его повторно. [*]

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Информация о шифровании:

RSA-1024 + AES256-CFB (создается случайный новый ключ для каждого файла). Включает контрольную сумму SHA256 исходного файла в формате base64. 

Список типов файлов, подвергающихся шифрованию:
.1gc, .1ua, .1wx, .4d1, .4dd, .aaa, .aac, .abs, .abx, .adb, .ade, .adf, .adn, .adp, .agr, .alf, .ask, .asp, .avi, .bak, .bat, .bmp, .btr, .cat, .cdb, .ckp, .cma, .cmd, .com, .cpd, .cpp, .css, .csv, .dad, .das, .db2, .db3, .dbb, .dbc, .dbf, .dbs, .dbt, .dbv, .dbx, .dcb, .dct, .dcx, .dd1, .dll, .doc, .dp1, .dqy, .dsk, .dsn, .dst, .dwg, .dx1, .eco, .ecx, .edb, .exe, .fcd, .fdb, .fic, .fm5, .fmp, .fo1, .fp3, .fp4, .fp5, .fp7, .fpt, .frm, .gdb, .gif, .gwi, .hdb, .his, .htm, .ibd, .ico, .idb, .ihx, .itw, .jar, .jet, .jpg, .jsp, .jtx, .kdb, .ldf, .m3u, .m4a, .maf, .maq, .mar, .mas, .mav, .maw, .mdb, .mdf, .mdn, .mdt, .mfd, .mid, .mkv, .mov, .mp3, .mp4, .mpa, .mpd, .mpg, .mrg, .mud, .mwb, .myd, .myi, .ndf, .nnt, .ns2, .ns3, .ns4, .nsf, .nv2, .nyf, .odb, .odt, .ogg, .oqy, .ora, .orx, .owc, .p96, .p97, .pan, .pdb, .pdf, .pdm, .php, .png, .pnz, .ppt, .psd, .qry, .qvd, .rar, .rbf, .rod, .rpd, .rsd, .rtf, .sbf, .scx, .sdb, .sdc, .sdf, .sis, .sln, .spq, .sq1, .sql, .tif, .tmd, .tps, .trc, .trm, .txt, .udb, .udl, .usr, .v12, .vdi, .vhd, .vis, .vpd, .vvv, .wav, .wdb, .wrk, .x1d, .x1s, .xdb, .xls, .xm1, .xm7, .zip (186 расширений). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускаемые директории: 
Program Files (x86), Windows NT, Program Files, Windows Defender, Windows\security, crypto

Файлы, связанные с этим Ransomware:
readme.txt - название файла с требованием выкупа;
lock.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

/home/atk/Desktop/lock-reless/main.go

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://y2cyumvhavcecc6kr5tpat5gdnz2lsw5ucjxbv7s2ggxsh7gj57omuyd.onion

Email: - 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: fc93ecb882fbc1bac46aaf4232ce9b66

SHA-1: e4cfd33fc8f20f05b07299845268a54dd33ffced

SHA-256: 7f65f443d129dcfc59b3c2a001b5a1f3cda092b3008e62a73ab87ba8f782b215

Vhash: 026066655d5d15541az28!z

Imphash: c7269d59926fa4252270f407e4dab043

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719, Michael Gillespie
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.