Если вы не видите здесь изображений, то используйте VPN.

среда, 21 августа 2024 г.

Morgan

Morgan Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Morgan Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью алгоритма AES, но не требует выкуп и не предоставляет email для связи с вымогателями, чтобы расшифровать файлы. Оригинальное название: Morgan. На файле написано: Morgan.exe. Вполне возможно, что изученные образцы являются тестовыми, а следующие будут предоставлять контакты для связи с вымогателями. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.40901, Trojan.Encoder.40908
BitDefender -> Trojan.GenericKD.73875826, Trojan.GenericKD.73879890
ESET-NOD32 -> A Variant Of MSIL/Filecoder.BFN
Kaspersky -> HEUR:Trojan-Ransom.MSIL.GenericCryptor.gen, HEUR:Trojan-PSW.MSIL.Stealer.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:MSIL/FileCoder.AYB!MTB, Ransom:Win32/Genasom
Rising -> Ransom.Agent!1.10191 (CLASSIC)
Tencent -> Malware.Win32.Gencirc.10c03521, Win32.Trojan.Malware.juzi
TrendMicro -> Ransom_RAMSIL.SM
---

© Генеалогия: SF, SatyrBlackHeart NextGen: BlackDream, BlackLegion и другие >> 
Morgan


Сайт "ID Ransomware" может идентифицировать это как один из предыдущих вариантов. 


Информация для идентификации

Активность этого крипто-вымогателя была в середине августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. В одном из образцов содержится инфостилер

К зашифрованным файлам добавляются расширения: 
.morgan
.alci

Записка с требованием выкупа называется: README.txt


Содержание записки о выкупе:
Your files are encrypted using AES, ur ID: 1418e947-7153-4f16-adea-ff0d0082947c

Перевод записки на русский язык:
Ваши файлы зашифрованы с AES, ваш ID: 1418e947-7153-4f16-adea-ff0d0082947c

Кроме того, в разных образцах загружаются два разных изображения:
1) с ромом "Captain Morgan" без требований выкупа;
2) картинка с капитаном Морганом с рекламной этикетки и немного текста.

Morgan Ransomware wallpaper





Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
wp4127471.jpg - изображение, заменяющее обои Рабочего стола; 
Morgan.exe - название вредоносного файла; 
Morgan.pdb - файл проекта вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\admin\source\repos\Morgan\Morgan\obj\Release\Morgan.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
hxxxs://wallpapercave.com/wp/wp4127471.jpg
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VTIA, TG, AR
MD5: 0e7215901aa61f182a5d229d289b073a 
SHA-1: a34cea415bc7d07d93c6b1b02e2a2349fc3b38b8 
SHA-256: 6cd338d71c9b2e482089e164a2d58f03e0619734b4436fb745df4f57527eeed6 
Vhash: 21403655151c082460021 
Imphash: f34d5f2d4577ed6d9ceec516c1f5a744
---
IOC: VT, IA, TG, AR
MD5: cd2149ef2f2c9675e75a224c10f60a8e 
SHA-1: a1a962caae493a33f947ff6412d18f864c7fc3fb 
SHA-256: 17db6fd9f81222711b1f33983a8f64b8c3bddfc7dc25f4f6b6e0c6c29d877eeb 
Vhash: 21403655151f082880025 
Imphash: f34d5f2d4577ed6d9ceec516c1f5a744

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***

Thanks: Petrovic Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

понедельник, 19 августа 2024 г.

Lockton, LockTon

Lockton Ransomware

LockTon Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Lockton Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует выкуп в # Monero, чтобы вернуть файлы. Оригинальное название: Lockton Ransomware. На файле написано: нет данных. Для систем на базе Linux/UNIX.
---
Обнаружения:
DrWeb -> Linux.Encoder.454
BitDefender -> Trojan.Linux.Generic.382047
ESET-NOD32 -> A Variant Of Linux/Filecoder.Lockton.A
Kaspersky -> HEUR:Trojan-Ransom.Linux.Agent.lctn
Microsoft -> Ransom:Linux/Lockton.A!MTB
Rising -> Ransom.Lockton/Linux!8.1B442 (CLOUD)
Symantec -> Linux.Trojan
Tencent -> Linux.Trojan-Ransom.Encoder.Ocnw
TrendMicro -> Ransom.Linux.CLOKTON.THHBHBD
---

© Генеалогия: родство выясняется >> 
Lockton


Сайт "ID Ransomware" это пока не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была в конце августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: *нет данных*.
Фактически используется составное расширение по шаблону: 

Записка с требованием выкупа называется: 
*нет данных*. 

Lockton Ransomware


Содержание записки о выкупе:
Your files have been encrypted. To recover them, please follow the instructions below. DO NOT CLOSE THIS WINDOW OR P
OWER OFF YOUR DEVICE!
IF YOU DO SO YOU WILL BE UNABLE TO RECOVER YOUR FILES!
1. Download the official Monero wallet from getmonero.org.
2. Purchase *** USD worth of Monero and send it to the following Monero address: ***
3. After sending the payment, download Dino XMPP and send the ransom payment transaction ID to the following XMPP.
***
4. After we verify you have paid your ransom, we will respond to your message with the decryption key.
5. Use the decryption key to recover your encrypted files below.

Перевод записки на русский язык:
Ваши файлы зашифрованы. Чтобы восстановить их, следуйте инструкциям ниже. НЕ ЗАКРЫВАЙТЕ ЭТО ОКНО И НЕ ВЫКЛЮЧАЙТЕ ВАШЕ УСТРОЙСТВО!
ЕСЛИ ВЫ ЭТО СДЕЛАЕТЕ, ВЫ НЕ СМОЖЕТЕ ВОССТАНОВИТЬ СВОИ ФАЙЛЫ!
1. Загрузите официальный кошелек Monero с getmonero.org.
2. Купите Monero на сумму *** USD и отправьте ее на следующий адрес Monero: ***
3. После отправки платежа загрузите Dino XMPP и отправьте идентификатор транзакции по выплате выкупа на следующий XMPP.
***
4. После того, как мы убедимся, что вы заплатили выкуп, мы ответим на ваше сообщение с ключом дешифрования.
5. Используйте ключ дешифрования, чтобы вернуть ваши зашифрованные файлы ниже.


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
encryptedfiles.txt  список зашифрованных файлов; 
cf37b3caea9b8f6bf3297f2d9c562703ad0eb4f6a27df9b105bd7c9aa9ca95ee.elf - вредоносный файл.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, IA, TG
MD5: 741d5a62b3fb1d8af982adce1bd34c04 
SHA-1: ae046000803108dcadc0ab4759c81deb07cd5a4d 
SHA-256: cf37b3caea9b8f6bf3297f2d9c562703ad0eb4f6a27df9b105bd7c9aa9ca95ee 
Vhash: b091e0f7108234e342a1de2cc9b04952


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***

Thanks: MalGamy12, S!Ri, petik Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

четверг, 1 августа 2024 г.

Smock

Smock Ransomware

Aliases: Smok, Mehro, Phobos, ciphx

(шифровальщик-вымогатель) (первоисточник на русском)
Translation into English


Smock Ransomware

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымогателями, чтобы заплатить выкуп и вернуть файлы. Оригинальное название: в разных записках указаны разные варианты названий. На файле написано: Ransomware.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Gen:Heur.Ransom.MSIL.!diop!.1
ESET-NOD32 -> A Variant Of MSIL/GenKryptik.HCKM
Kaspersky -> ***
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Wacatac.B!ml, Ransom:MSIL/Smock!MTB
Rising -> Trojan.Kryptik!8.8 (CLOUD)
Tencent -> Msil.Trojan.Genkryptik.Etgl
TrendMicro -> TROJ_GEN.R002H09J524
---

© Генеалогия: Koolova modified >> 
Smock


Сайт "ID Ransomware" это пока отдельно не идентифицирует. 


Информация для идентификации

Активность этого крипто-вымогателя была замечена в июня-августе 2024 г., но продолжилась до октября. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется одно из следующих расширений: 
.SMOCK 
.SMOK 
.MEHRO 
.PHOBOS 
.ciphx (в октябре)

Фактически используется известный шаблон:
.[ID{8}][<email_ransom>].extension

Здесь ID{8} = pcid (идентификатор компьютера). 

Примеры зашифрованных файлов:
.[614FD522][smocksupport@protonmail.com].SMOCK
.[812EH413][smoksupport@onionmail.com].SMOK

Записки с требованием выкупа называются: ReadMe.txtinfo.hta

Содержание записки ReadMe.txt:
Smock Ransomware!!!
ATTENTION!
YOUR PERSONAL DECRYPTION ID : 102AB***
At the moment, your system is not protected.
We can fix it and restore your files.
To get started, send 1-2 small files to decrypt them as proof
You can trust us after opening them
2.Do not use free programs to unlock.
OUR CONTACTS:
 [+] Email 1 : smoksupport@onionmail.com
 [+] Email 2 : smocksupport@protonmail.com
 [+] Write Us To The ID-Telegram :@Recovery_Data_***  (https://t.me/Recovery_Data_*** )    
1) TOX messenger (fast and anonymous)
https://tox.chat/download.html
Install qtox
Press sign up
Create your own name
Press plus
Put there our tox ID:
AD2***
And add me/write message

Перевод записки на русский язык:
Smock Ransomware!!!
ВНИМАНИЕ!
ВАШ ПЕРСОНАЛЬНЫЙ ИД РАСШИФРОВКИ: 102AB***
В данный момент ваша система не защищена.
Мы можем исправить это и вернуть ваши файлы.
Для начала отправьте 1-2 небольших файла для доказательства расшифровки
Вы можете доверять нам после их открытия
2. Не используйте бесплатные программы для разблокировки.
НАШИ КОНТАКТЫ:
[+] Email 1 : smoksupport@onionmail.com
[+] Email 2 : smocksupport@protonmail.com
[+] Напишите нам в ID-Telegram :@Recovery_Data_*** (https://t.me/Recovery_Data_*** )
1) TOX messenger (быстрый и анонимный)
https://tox.chat/download.html
Установите qtox
Нажмите sign up
Создайте свое имя
Нажмите plus
Вставьте туда наш tox ID:
AD2***
И добавьте меня/напишите сообщение


Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 



Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ReadMe.txt - название файла с требованием выкупа;
info.hta - название файла с требованием выкупа;
Ransomware.exe - случайное название вредоносного файла;
Ransomware.pdb -  файл проекта вредоносного файла;
ControlledEncryptionTest.exe

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\Administrator\Desktop\rans\Ransomware\Ransomware\Ransomware\Ransomware\Ransomware\Ransomware\obj\Release\Ransomware.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email-1: smoksupport@onionmail.com
Email-2: smocksupport@protonmail.com
Email-3: Smoksupport@cloudminerapp.com
BTC: -
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, IA, TG, AR, VMR, JSB
MD5: -


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Koolova Ransomware — ноябрь-декабрь 2016
Koolova HT Ransomware — ноябрь-декабрь 2016
DUMB (Ramsomeer) Ransomware — февраль 2017
Повторные варианты — 2018 
Модифицированные варианты — 2018-2024
Smock, Smok и другие — июнь-октябрь 2024



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 2 октября 2024:
Сообщение на форуме >>
Расширение: 
.ciphx
Пример зашифрованного файла: document.txt.[508AB610][ciphx@onionmail.com].ciphx
Email-1:ciphx@onionmail.com
Email-2: Ciphx99@protonmail.com
Telegram: @Recovery_Data_ciphx



Обновление октября 2024:
Мошенники или их пособники используют сайт:
hxxxs://phobosdecryptor.ru/smock-ransomware/
Для вымогания денег через поддельные адреса и поддельный Whats App.
Остерегайтесь что-то оттуда скачивать и не переводите никакую сумму. 









=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message Write-up, Topic of Support ***

Thanks: *** Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

воскресенье, 28 июля 2024 г.

Lynx

Lynx Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Lynx Ransomware logo

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.40772
BitDefender -> Gen:Heur.Ransom.Imps.1
ESET-NOD32 -> A Variant Of Win32/Filecoder.IncRansom.A
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen
Malwarebytes -> Generic.Malware/Suspicious
Microsoft -> Trojan:Win32/Wacatac.B!ml
Rising -> Ransom.IncRansom!8.190AD (CLOUD)
Tencent -> Malware.Win32.Gencirc.10c0227e
TrendMicro -> Ransom.Win32.LYNXRANSOM.THGBIBD
---

© Генеалогия: INC Ransom >> 
LYNX


Сайт "ID Ransomware" идентифицирует это как Lynx со 2 августа 2024. 



Информация для идентификации

Активность этого крипто-вымогателя была в конце июля - начале августа 2024 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .LYNX


Записка с требованием выкупа называется: README.txt

Lynx Ransomware note, записка о выкупе

Содержание записки о выкупе:
Your data is stolen and encrypted.
Your unique identificator is ***
Use this TOR site to contact with us:
hxxx://lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd.onion/login
Use this email to contact with us:
martina.lestariid1898@proton.me
Our blog
 ~ TOR Network: hxxx://lynxbllrfr5262yvbgtqoyq76s7mpztcqkv6tjjxgpilpma7nyoeohyd.onion/disclosures
 ~ Mirror #1: hxxx://lynxblog.net/

Перевод записки на русский язык:
Ваши данные украдены и зашифрованы.
Ваш уникальный идентификатор — ***
Используйте этот сайт TOR для связи с нами:
hxxx://lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd.onion/login
Используйте этот email-адрес для связи с нами:
martina.lestariid1898@proton.me
Наш блог
~ Сеть TOR: hxxx://lynxbllrfr5262yvbgtqoyq76s7mpztcqkv6tjjxgpilpma7nyoeohyd.onion/disclosures
~ Зеркало № 1: hxxx://lynxblog.net/


Записка с контактами и требованием посетить сайт вымогателей дублируется в изображении, заменяющем обои Рабочего стола. 






Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 




Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Маркер файлов:
LYNX



Сетевые подключения и связи:
URL: hxxx://lynxblog.net/
Tor-URL: hxxx://lynxch2k5xi35j7hlbmwl7d6u2oz4vp2wqp6qkwol624cod3d6iqiyqd.onion/login
Email: martina.lestariid1898@proton.me
BTC: -
См. ниже в обновлениях другие адреса и контакты. 







Результаты анализов: 
IOC: VT, IA, TG, AR, VMR, JSB
MD5: 7e851829ee37bc0cf65a268d1d1baa7a 
SHA-1: 672553c79db2a3859a8ea216804d4ff8d2ded538 
SHA-256: eaa0e773eb593b0046452f420b6db8a47178c09e6db0fa68f6a2d42c3f48e3bc 
Vhash: 015056655d15556143z10c0067hz23z5fz 
Imphash: b236e3a7e5fec7df716fb0039d0fca72
---
Другие образцы: 
0dde63515fa44d0f899ef011348cd730
710c6fe533f197f4c793b234ad369b7e
0d7b54bda9ebee77bed1dbf8d90561e3
1f2dfc5f4900aa5efef24857f94bd8cb


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

INC Ransom Ransomware - июль-ноябрь 2023
LYNC Ransomware - с июля 2024



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + myMessage Write-up, Topic of Support ***

Thanks: *** Andrew Ivanov (article author) *** to the victims who sent the samples


© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *