BlackShadow

BlackShadow Ransomware

Variants: BLackShadow, BLackSh, BlackStore, Black, ZeroCool, X, Off, ICE, Jarjets et al.

(шифровальщик-вымогатель) 
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов  Curve25519 и ChaCha20/8, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: Proxima >> BTC-azadi, BTC-azadi NG, Cylance, некоторые другие, BlackShadow с вариантами

Сайт "ID Ransomware" BlackShadow пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя и его вариатов была замечена в середине мая и продолжилась по июль 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам в разных вариантах добавляется одно из следующих расширений: 

.BLackShadow

.BLackSh

.BlackStore

.Black - был описан в статье BlackRecover Ransomware

и другие, см. варианты ниже. 

Записка с требованием выкупа в разных вариантах называется: 

BLackShadow_Help.txt

BLackSh_Help.txt

BlackStore_Help.txt

Black_Recover.txt - был описан в статье BlackRecover Ransomware

Содержание записки о выкупе:

ALL YOUR IMPORTANT FILES ARE STOLEN AND ENCRYPTED 

Black.Shadow2000@onionmail.org

Black.Shadow2000@cyberfear.com

Your ID : 3D559B**********

In subject line please write your personal ID

Warning!

Do not delete or modify encrypted files, it will lead to problems with decryption of files!

If you don't pay the ransom, the data will be published on our TOR darknet sites.

Keep in mind that once your data appears on our leak site, it could be bought by your competitors at any second, so don't hesitate for a long time. 

The sooner you pay the ransom, the sooner your company will be safe.

What guarantee is there that we won't cheat you?

Send us ONE small encrypted files to emails listed below.

We will decrypt these files and send them back to you as a proof.

Перевод записки на русский язык:

ВСЕ ВАШИ ВАЖНЫЕ ФАЙЛЫ украдены и зашифрованы

Black.Shadow2000@onionmail.org

Black.Shadow2000@cyberfear.com

Ваш ID: 3D559B************

В теме письма укажите свой личный ID.

Предупреждение!

Не удаляйте и не изменяйте зашифрованные файлы, это приведет к проблемам с расшифровкой файлов!

Если вы не заплатите выкуп, данные будут опубликованы на наших сайтах даркнета TOR.

Имейте в виду, что как только ваши данные появятся на нашем сайте утечек, их в любую секунду могут купить ваши конкуренты, поэтому долго раздумывать не стоит.

Чем раньше вы заплатите выкуп, тем скорее ваша компания будет в безопасности.

Какая гарантия, что мы вас не обманем?

Отправьте нам ОДИН небольшой зашифрованный файл на email-адреса, указанные ниже.

Мы расшифруем эти файлы и отправим их вам обратно в качестве доказательства.

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки, очищает корзины, удаляет системные журналы. Чтобы помешать восстановлению данных после шифрования файлов BlackShadow очищает свободное место на диске. 

Список типов файлов, подвергающихся шифрованию
Выполняет избирательное шифрование. При этом полностью шифрует файлы с расширениями: 

.4dd, .4dl, .7z, .abcddb, .abs, .abx, .accdb, .accdc, .accde, .accdr, .accdt, .accdw, .accft, .adb, .ade, .adf, .adn, .adp, .alf, .arc, .ask, .back, .backup, .bak, .bdf, .btr, .cat, .cdb, .ckp, .cma, .cpd, .dacpac, .dad, .dadiagrams, .daschema, .db, .db2, .db3, .dbc, .dbf, .dbs, .db-shm, .dbt, .dbv, .db-wal, .dbx, .dcb, .dct, .dcx, .ddl, .diff, .dlis, .dp1, .dqy, .dsk, .dsn, .dtsx, .dxl, .eco, .ecx, .edb, .epim, .exb, .fcd, .fdb, .fic, .fm5, .fmp, .fmp12, .fmpsl, .fol, .fp3, .fp4, .fp5, .fp7, .fpt, .frm, .gdb, .grdb, .gwi, .hdb, .his, .hjt, .ib, .ibd, .icg, .icr, .idb, .ihx, .itdb, .itw, .jet, .jtx, .kdb, .kdb, .kexi, .kexic, .kexis, .lgc, .lut, .lwx, .maf, .maq, .mar, .mas, .mav, .maw, .mdb, .mdf, .mdn, .mdt, .mpd, .mrg, .mud, .mwb, .myd, .ndf, .nnt, .nrmlib, .ns2, .ns3, .ns4, .nsf, .nv, .nv2, .nwdb, .nyf, .odb, .oqy, .ora, .orx, .owc, .p96, .p97, .pan, .pdm, .pnz, .qry, .qvd, .rar, .rbf, .rctd, .rdp, .rod, .rodx, .rpd, .rsd, .sas7bdat, .sbf, .scx, .sdb, .sdc, .sdf, .sis, .spq, .sql, .sqlite, .sqlite3, .sqlitedb, .tar, .te, .temx, .tmd, .tps, .trc, .trm, .udb, .udl, .usr, .v12, .vis, .vpd, .vvv, .wdb, .wmdb, .wrk, .xdb, .xld, .xls, .xlsx, .xmlff, .zip 

Остальные файлы шифруются блоками c интервалом по умолчанию 4 МБ.

Это документы MS Office, PDF, текстовые файлы, фотографии, музыка, видео и пр.

Вырубает ряд процессов, которые мешают шифрованию, но пропускает процессы, имена которых содержат следующие подстроки:

AnyDesk, Client, DropBox, googledrive, GoogleDriveFS, Kerio, OneDrive, TeamViewer, VPN, Yandex, YandexDisk2

Списки исключения при шифровании:

а) пропускает следующие файлы: 

autorun.inf, boot.ini, bootfont.bin, bootmgr, BOOTNXT, bootsect.bak, desktop.ini, iconcache.db, ntldr, ntuser.dat, ntuser.dat.log, ntuser.ini, thumbs.db, YandexDisk2.exe

б) пропускает файлы с расширениями: 

.386, .adv, .ani, .bat, .cab, .cmd, .com, .cpl, .cur, .deskthemepack, .diagcab, .diagcfg, .diagpkg, .dll, .drv, .exe, .hlp, .hta, .icl, .icns, .ico, .ics, .idx, .ldf, .lnk, .lock, .mod, .mpa, .msc, .msi, .msp, .msstyles, .msu, .nls, .nomedia, .ocx, .pdb, .prf, .ps1, .rdp .rom, .rtp, .scr, .search-ms, shs, .spl, .sys, .theme, .themepack, .wpx

в) пропускает следующие папки (директории): 

$RECYCLE.BIN, $Windows.~bt, $windows.~ws, All Users, Anydesk, AVG, Boot, BrowserManager, Comms, Config.Msi, Default, DriveFS, ESET, Foxit Reader, google, Intel, Kaspersky Lab, Kerio, Microsoft Help, Microsoft, microsoft, Microsoft, Mozilla Firefox, Mozilla, MSOCache, OneDrive, Opera Software, Package Cache, PerfLogs, qmlcache, RaiDrive, SearchBand, SoftwareDistribution, System Volume Information, tor browser, USOPrivate, USOShared, Visual Studio 16.0, VPN Client, Windows Defender, windows nt, Windows, windows.old, WindowsApps, Yandex.Disk.2, Yandex.Notes, Yandex.Telemost, YandexBrowser, YandexDisk2, yapin

г) пропускает собственные файлы, записки с требованиями выкупа и файлы получившие заданное расширение после шифрования.

Файлы, связанные с этим Ransomware:

BLackShadow_Help.txt - название файла с требованием выкупа;

BLackSh_Help.txt - название файла с требованием выкупа;

BlackStore_Help.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла. а

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
Global\BlackShadow

Global\FSWiper

См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

Образец раннего варианта не был предоставлен. Другие варианты см. ниже в Обновлениях. 

Файл очистителя свободного места на диске: 

IOC: VT, IA

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Proxima Ransomware - январь 2023

BTC-azadi Ransomware - январь 2023

Cylance Ransomware - март 2023

BTC-azadi NextGen Ransomware - с марта 2023

другие варианты - март-апрель-май 2023

BlackShadow Ransomware - май-июль 2023

BlackBerserk (BlackRecover) Ransomware - с июля 2023

другие варианты - август-ноябрь 2023

Lambda (LambdaCrypter) Ransomware - октябрь 2023

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 4-6 июня 2023:

Расширение: .BlackStore

Записка: BlackStore_Help.txt

Email: Black.Store2000@onionmail.org, Black.Store2000@cyberfear.com

Мьютекс: Global\BlackStoreMutex

Специальный файл: Black.dll

Файл очистителя: Brlg.sys (в C:\ProgramData, cmd-запуск)

Файл: MsMpegs.exe

IOC: VT, IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.37619

BitDefender -> Dropped:Trojan.Ransom.Cylance.C

ESET-NOD32 -> A Variant Of Win32/Filecoder.ONI

Microsoft -> Ransom:Win32/CylanCrypt.PAB!MTB

QuickHeal -> Ransom.Cylance.S30114602

TrendMicro -> Ransom.Win32.CELANCYC.SM

Вариант от 10 июня 2023: 

Сообщение о втором образце >>

Расширение: .ZeroCool

Записка: ZeroCool_Help.txt

Email: zero.cool2000@onionmail.org, zero.cool2000@skiff.com

Мьютекс: Global\ZeroCoolMutex

IOC: VT, IA + VT, IA
➤ Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Malwarebytes -> Ransom.ZeroCool

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.YXDINZ

Вариант от 30 июля 2023 или раньше: 

Сообщение на форуме >>

Расширение: .X

Записка: X-Help.txt

Email: Recovery.team@onionmail.org, Recovery.team@skiff.com

Вариант от 10 августа или раньше: 

Самоназвания: Black Ice, BLACK ICE  

Похож на вариант ZeroCool.

Сообщение >>

Расширение: .ICE

Записка: ICE_Recovey.txt (да, с ошибкой в последней букве)

Email: Black.lce85@onionmail.org, Black.Ice85@skiff.com

IOC: VT: 85E183053D61B4E4262600C42540496F

Образец непубличный, скорее всего вариант BlackBerserk (BlackRecover) Ransomware

Вариант от 22 сентября 2023: 

Расширение: .Gomez

Записка: Gomez_Recover.txt

Email: Gomez1754@cyberfear.com, Gomez1754@skiff.com

См. в статье BlackBerserk (BlackRecover) Ransomware

Вариант от 6 октября 2023:

Сообщение >>

Доп. название: Jarjets Ransomware

Расширение: .Jarjets

Записка: Jarjets_ReadMe.txt

IOC: VT, IA 

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.YXDJWZ

Вариант от 21 октября 2023:

Расширение: .Off

Записка: Off_Help.txt

Вариант ноября 2023:

Расширение: .Daniel

Записка: Daniel_Help.txt

Вариант от 27 ноября 2023: 

Расширение: .Xray

Записка: Xray_Help.txt

Email: Xray64@skiff.com, Xray64@onionmail.org

Мьютекс: Global\XrayMutex

IOC: VT: IA: MD5: 26031e3493d51873b6ce93f3fdcba2fb

Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.SMYXDJA

Варианты от 9-22 декабря 2023: 

Сообщение >>

Доп. название: Tisak Ransomware

Расширение: .Tisak

Записка: Tisak_Help.txt

Email: Tisak1998@skiff.com, Tisak1998@cyberfear.com

IOC: VT: IA: MD5: d1f6a3f6e59abbe7fa4faec0dcb80892

Обнаружения: 

DrWeb -> Trojan.Encoder.37806

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

Tencent -> Malware.Win32.Gencirc.10bf6e7e

TrendMicro -> Ransom.Win32.CELANCYC.SMYXDJA

---

IOC: VT: IA: MD5: 94a25e1fb0011ef2522b058ec2723e58

Обнаружения: 

DrWeb -> Trojan.Wiper.3

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

Tencent -> Malware.Win32.Gencirc.10bf78ed

TrendMicro -> Ransom.Win32.CELANCYC.SMYXDJA

Вариант от 22 декабря 2023: 

Расширение: .SNet

Записка: DecryptNote.txt

Email: snetinfo@skiff.com, snetinfo@cyberfear.com

IOC: VT: HA: IA: TG: MD5: 336225128a6a0899b0bd31507159dddb

IOC: VT: HA: IA: TG: MD5: c7bdd334bb8b87c4a39bcc911fb511fb

Обнаружения для обоих вариантов: 

DrWeb -> Trojan.Wiper.3

ESET-NOD32 -> A Variant Of Win32/Filecoder.OOO

Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic

Microsoft -> Ransom:Win64/BlackShadow.YAA!MTB

TrendMicro -> Ransom.Win32.CELANCYC.YXDL1Z

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 rivitna, pcrisk, S!Ri, Sandor
 Andrew Ivanov (article author)
 F.A.C.C.T. (Андрей Жданов, Иван Грузд)
 to the victims who sent the samples

*
© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Moneybird

Moneybird Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные бизнес-пользователей и организаций Израиля с помощью комбинации алгоритмов AES-256 в режиме GCM (Galois/Counter Mode), а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: Moneybird, указано в записке. На файле написано: moneybird.exe или случайное имя. Написан на языке программирования на C++. Используется хакерской группой Agrius. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.37614
BitDefender -> DeepScan:Generic.Ransom.MoneyBird.A.0FE98449
ESET-NOD32 -> Win64/Filecoder.Moneybird.A
Kaspersky -> Trojan-Ransom.Win64.Agent.drb
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win64/MoneyBird!MTB
Rising -> Ransom.MoneyBird!1.E607 (CLASSIC)
Tencent -> Malware.Win32.Gencirc.10beec36
TrendMicro -> Ransom.Win64.DROMINEBY.THFOEBC
---

Обнаружения:
DrWeb -> Trojan.Encoder.37616
BitDefender -> Generic.Ransom.MoneyBird.A.59AFFFA1
ESET-NOD32 -> Win64/Filecoder.Moneybird.A
Kaspersky -> Trojan-PSW.Win64.Stealer.ayc
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Casdet!rfn, Backdoor:Win32/Bladabindi!ml
Rising -> Ransom.MoneyBird!1.E607 (CLASSIC)
Tencent -> Malware.Win32.Gencirc.10beec38
TrendMicro -> Ransom.Win64.DROMINEBY.THFOEBC

---

© Генеалогия: родство выясняется >>

Сайт "ID Ransomware" идентифицирует это как Moneybird. 

Информация для идентификации

Активность этого крипто-вымогателя была в мае 2023 г. Ориентирован на англоязычных пользователей, но направлен только против Израиля.

К зашифрованным файлам добавляется расширение: *нет данных*.

Записка с требованием выкупа называется: *нет данных*.

Содержание записки о выкупе:

Hello WE ARE MONEYBIRD!

All of your data encrypted!

If u want you to restore them follow this link with in 24H:

hxxxs://ok.ru/profile/589334429901

All of your data will publish in public if u dont contact us.

Alert:

1- Do NOT rename encrypted files.

2- Do NOT try to decrypt your data with using third party software it may cause parmanent data loss and leak.

Перевод записки на русский язык:

Привет, МЫ MONEYBIRD!

Все ваши данные зашифрованы!

Если вы хотите восстановить их, перейдите по этой ссылке в течение 24 часов:

hxxxs://ok.ru/profile/589334429901

Все ваши данные будут опубликованы публично, если вы не свяжетесь с нами.

Предупреждение:

1- НЕ переименовывайте зашифрованные файлы.

2- НЕ пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к безвозвратной потере и утечке данных.

Вот профиль ОК, который использовался с записке вымогателей. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Хакеры подключаются вручную через RDP. Для загрузки вредоносных файлов для запуска шифрования злоумышленники просто открывают браузер и скачивают их с файлообменников. 

Исследователи Check Point говорят, что злоумышленники первоначально получают доступ к корпоративным сетям, используя уязвимости общедоступных серверов, что дает Agrius начальную точку опоры в сети организации. Затем хакеры прячутся за базирующимися в Израиле узлами ProtonVPN, чтобы развернуть варианты веб-оболочек ASPXSpy, спрятанные внутри текстовых файлов "Certificate" — тактика, которую Agrius использовал в предыдущих вредоносных кампаниях.

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Список пропускаемых расширений:

.exe, .dll, .lnk, .msi, .sys

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;

moneybird.pdb - файл проекта программы-вымогателя; 
moneybird.exe - случайное название вредоносного файла; 

moneybird.zip - перемещаемый в архиве вредоносный файл. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\user\Desktop\moneybird\x64\Release\moneybird.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

SHA256: aa19839b1b6a846a847c5f4f2a2e8e634caeebeeff7af59865aecca1d7d9f43c

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 1a4c31968ff59344a2b77fb5a5196ad4

SHA-1: 52cb3fa9b84665c88caa645e0100ca3ddc5a0bb2

SHA-256: bc58d7ce32f93c74ab8032b19c5af4e45271a54d0071e93f8c4ea0eb23f16c01

Vhash: 066086555d556d15155550f8zb47z37z1011ze5z87z

Imphash: 431d76fa4acc2ccebd298b10fc637d3f

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 005aa97a5b3611810eb6a9e0f9489748

SHA-1: 5edb2e62f89652601721df81e8a4b27e4decbdd7

SHA-256: 891a1ac0ea79bc311ed664bc9fa0afec8f1db115c1cc8bf4c457f60865afd94e

Vhash: 0860ce06551d55551d1d1148zba7z37z1011zd5z87z

Imphash: 0f5e8d6080b1bccc18b27dd257e505d2

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Write-up, Topic of Support
 ***

 Thanks: 
 Check Point, MalwareHunterTeam
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Black Suit

Black Suit Ransomware

BlackSuit Ransomware

BlackSuit Hacking Group

Pipi-Encryptor Ransomware

(шифровальщик-вымогатель, хакерская группа) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: sys32.exe. Есть версии для Windows и Linux. 
---
Обнаружения:

Версия для Windows: 
DrWeb -> Trojan.Encoder.37627
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> Win32/Filecoder.ONZ
Kaspersky -> HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes -> Generic.Ransom.FileCryptor.DDS
Microsoft -> Ransom:Win32/BlackSuit.B
Rising -> Trojan.Generic@AI.96 (RDML:35*

Symantec -> Ransom.Blacksuit
Tencent -> Malware.Win32.Gencirc.10bee04d
TrendMicro -> Ransom.Win32.BLACKSUIT.THEODBC
---

Версия для Linux: 

DrWeb -> Linux.Encoder.347

BitDefender -> Trojan.Linux.Generic.298134

ESET-NOD32 -> Linux/Filecoder.Royal.B

Kaspersky -> HEUR:Trojan-Ransom.Linux.BlackSuit.a

Microsoft -> Ransom:Linux/BlackSuit.A!MTB

Rising -> Ransom.Royal/Linux!8.178F6 (TFE:16:MAvZS76wLbO)

Symantec -> Ransom.Blacksuit

Tencent -> Linux.Trojan-Ransom.Blacksuit.Xmhl

TrendMicro -> Ransom.Linux.BLACKSUIT.THEODBC

© Генеалогия: ✂ Royal Ransomware >> BlackSuit

Сайт "ID Ransomware" BlackSuit пока отдельно не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале мая 2023 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: 

.BlackSuit

.blacksuit

Записка с требованием выкупа называется: README.BlackSuit.txt

Содержание записки о выкупе:

Good whatever time of day it is!

Your safety service did a really poor job of protecting your files against our professionals.

Extortioner named  BlackSuit has attacked your system.

As a result all your essential files were encrypted and saved at a secure serverfor further useand publishing on the Web into the public realm.

Now we have all your files like: financial reports, intellectual property, accounting, law actionsand complaints, personal filesand so onand so forth.

We are able to solve this problem in one touch.

We (BlackSuit) are ready to give you an opportunity to get all the things back if you agree to makea deal with us.

You have a chance to get rid of all possible financial, legal, insurance and many others risks and problems for a quite small compensation.

You can have a safety review of your systems.

All your files will be decrypted, your data will be reset, your systems will stay in safe.

Contact us through TOR browser using the link:

hxxx://weg7sdx54bevnvulapqu6bpzwztryeflq3s23tegbmnhkbpqz637f2yd.onion/?id=MCowBQYD***

Перевод записки на русский язык:

Хорошего времени суток! 

Ваша служба безопасности очень плохо защищала ваши файлы от наших профессионалов.

Вымогатель по имени BlackSuit атаковал вашу систему.

В результате все ваши важные файлы были зашифрованы и сохранены на защищенном сервере для дальнейшего использования и публикации в Сети в открытом доступе.

Теперь у нас есть все ваши файлы: финансовые отчеты, интеллектуальная собственность, бухгалтерская отчетность, судебные иски и жалобы, личные дела и т.д. и т.п.

Мы можем решить эту проблему в одно касание.

Мы (BlackSuit) готовы предоставить вам возможность получить все обратно, если вы согласитесь заключить с нами сделку.

У вас есть шанс за совсем небольшое вознаграждение избавиться от всех возможных финансовых, юридических, страховых и многих других рисков и проблем.

Вам будет сделана проверка безопасности ваших систем.

Все ваши файлы будут расшифрованы, данные сброшены, системы останутся в безопасности.

Свяжитесь с нами через браузер TOR по ссылке:

***

Скриншоты сайта вымогателей:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

➤ Вымогателями используются следующие общедоступные инструменты:

- для кражи учетных данных Mimikatz;

- инструменты для сбора паролей от Nirsoft; 

- программы для удаленного доступа AnyDesk, LogMein, Atera Agent;

- инструменты сетевого туннелирования Chisel и Cloudflared;

- клиенты Secure Shell (SSH), OpenSSH, MobaXterm для установления SSH-соединений. 

CISA и ФБР полагают, что сходство между двумя семействами программ-вымогателей указывает либо на потенциальный ребрендинг Royal, либо на дополнительный вариант.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Список исключений: 

файлы с расширениями: .cmd, .bat, .com, .exe, .dll

README.BlackSuit.txt

Файлы, связанные с этим Ransomware:
README.BlackSuit.txt, README.blacksuit.txt - названия файлов с требованием выкупа;
sys32.exe - название вредоносного файла; 

encryptor.pdb - название проекта вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\pipi-\source\repos\encryptor\Release\encryptor.pdb

Скриншоты кода:

 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://weg7sdx54bevnvulapqu6bpzwztryeflq3s23tegbmnhkbpqz637f2yd.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

1) Версия для Windows:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 748de52961d2f182d47e88d736f6c835

SHA-1: 30cc7724be4a09d5bcd9254197af05e9fab76455

SHA-256: 90ae0c693f6ffd6dc5bb2d5a5ef078629c3d77f874b2d2ebd9e109d8ca049f2c

Vhash: 026056655d155560f3z72z781z2dz23z44z1c7z

Imphash: 11fc1edb442e257617e8672be635a02f

2) Версия для Linux:

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 9656cd12e3a85b869ad90a0528ca026e

SHA-1: 861793c4e0d4a92844994b640cc6bc3e20944a73

SHA-256: 1c849adcccad4643303297fb66bfe81c5536be39a87601d67664af1d14e02b9e

Vhash: c8e83a6d94dd79c599a0718fd88decf7

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Write-up, Topic of Support
 ***

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 TrendMicro, BleepingComputer
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.