Шифровирусы шумною толпою...

safety · October 2018

+
Another two #CrySiS / #Dharma #ransomware variants - extensions ".like" and ".gdb" - emails "GetDataBack@fros.cc" and "help@decrypt-files.info" - https://www.virustotal.com/#/file/bf20b92755cd5c2542cdcef804ee795932cc4b0e070ca6b81ff8fd30908a8f97/detection … and https://www.virustotal.com/#/file/71506a3322b0e0bc6fc2c1a1f0ac844a82a8c3fbbfeb4e6452013b4ade7610fb/detection …, cc @demonslay335

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .waifu; .FUNNY; .betta; .vanss; .like; .gdb;

safety · October 2018

And another #CrySiS / #Dharma #ransomware variant - extension ".xxxxx" - email "syndicateXXX@aol.com" - modified list of targeted file types - https://www.virustotal.com/#/file/39e55566313c9029b385a4beb4a2451b42b164fd9a4c2a99d1bc4f5012a83423/detection … - unpack https://www.virustotal.com/#/file/a43dab9c34af5a49a2a615e86db3e2bf4c5467853dd5bd4f1a1c73619b683ab2/detection

safety · November 2018

+
Another #Dharma #Ransomware variant spotted on ID Ransomware, extension ".adobe". cc @JakubKroustek

safety · November 2018

+
#Dharma #Ransomware with extension ".tron", interestingly uses a .NET dropper. https://www.virustotal.com/#/file/8c2d2276dd1b98ad4c3958d466f8cf650d499f06c7ed2ef8ef9e026b457d3402/ …

safety · November 2018

+
Two new #CrySiS/#Dharma #ransomware variants: ".AUDIT": https://www.virustotal.com/#/file/1945c44901e7aa9dd5b6e7e6e07a777d57f7e76120a3ca5a46a0f983d30ce37e/ … & ".cccmn" https://www.virustotal.com/#/file/841367a29ca9fb0e95cbdae260d6ed020c1328552ca08bd2bf27c2cd11092c53 …; "payransom@qq.com" & "decrypt_arena@india.com"

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn

safety · November 2018

+
#Dharma #Ransomware spotted on ID Ransomware with extension ".back". cc @JakubKroustek

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back

safety · November 2018

+
#CrySiS / #Dharma #ransomware variant ".Bear" - email "Grizzly@airmail.cc" - sample https://www.virustotal.com/#/file/15caa34266878c1e1fa51c9798393290a26364f3775e776e8d6b448bdd138ab3/detection … - unpack https://www.virustotal.com/#/file/2a12686e4ab990c47ad5e89c883988b1a0907c4fa1c2e7c475f77b988143c138/detection … - cc @demonslay335

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear

safety · November 2018

Fortinet о Dharma Ransomware:

When this new ransomware variant is installed on a victim’s computer, it executes and decrypts data as necessary from the .data resource section. Initially, the entire .data section is encrypted using the RC4 algorithm and a 128byte key stored at the beginning of the data block. The malware then uses the key to decrypt the strings, step by step. Firstly, API names and addresses are decrypted and stored into the stack, which are then loaded. In addition, the malware decrypts commands used to delete shadow copies, file extension list, attacker email addresses, the encrypted file extension, the ransom note, and other various strings that are also encrypted.

Когда Dharma Ransomware установлен на компьютере жертвы, он выполняет и расшифровывает данные по мере необходимости из раздела ресурсов .data. Первоначально весь раздел .data зашифровывается с использованием RC4-алгоритма и 128-байт-ключа, сохраненного в начале блока данных. Затем вредоносное ПО использует ключ для дешифрования строк, шаг за шагом. Во-первых, имена и адреса API дешифруются и сохраняются в стеке, которые затем загружаются. Кроме того, вредоносное ПО расшифровывает команды, используемые для удаления теневых копий, список расширений файлов, адреса электронной почты злоумышленника, зашифрованного расширения файла, примечания о выкупе и других различных строк, которые также зашифровываются.
https://www.fortinet.com/blog/threat-research/dharma-ransomware--what-it-s-teaching-us.html

по классификации DrWeb - CrySis - это Trojan.Encoder.3953

Известны как минимум 4 его модификации, отличающиеся способом шифрования файлов, и 4 версии, различающиеся способом их именования. Имеются основания полагать, что авторами этого энкодера являются вирусописатели, ранее создавшие Trojan.Encoder.741/(Filecoder.DG по классиф. ESET) и Trojan.Encoder.2667.

https://vms.drweb.ru/virus/?i=8051858&virus_name=Trojan.Encoder.3953

safety · November 2018

+
Yet another #CrySiS/#Dharma #ransomware variant - extension '.fire' - email 'suppfirecrypt@qq.com' - https://www.virustotal.com/#/file/151921dc5a3d72cdce14bf08c728c40b7ff0b1a555014163cbff375886ea411d/detection …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire

safety · November 2018

+
and another one... #CrySiS/#Dharma #ransomware - extension 'myjob' - ransom email address 'goodjob24@foxmail.com' - https://www.virustotal.com/#/file/e75ee5dcc9921d016f9d33989cfebe97db006354699f7d005d82801a3daa8920/detection …. cc @demonslay335

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob

safety · November 2018

+
New variant of #Dharma #Ransomware Ext: .[cyberwars@qq.com].war R/n: FILES ENCRYPTED.txt Email: cyberwars@qq.com

+
#Dharma #Ransomware spotted on ID Ransomware with extension ".risk"

+

+
and another one - "bkpx" - Admin@decryption.biz - https://www.virustotal.com/#/file/9998c841464ffed15b17c5cf7893bce953d013241ae9b3bf4ba93409afa64f75/ …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx

safety · December 2018

+

Сервер под управлением ОС Windows server 2008 R2 стал жертвой вируса шифровальщика, часть системных файлов и базы данных 1С v7 были зашифрованы, пример "1SBLOB.DBF.id-04CC5A56.[newsantaclaus@aol.com].santa", также на рабочем столе появился файл FILES ENCRYPTED.txt с таким содержимым:
all your data has been locked usYou want to return?
write email newsantaclaus@aol.com

Вирус зашифровал компьютер, все файлы стали с раширением .id-1C4E1AD1.[newsantaclaus@aol.com].santa

Сейчас выводит сообщение:

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail newsantaclaus@aol.com
Write this ID in the title of your message 1C4E1AD1
In case of no answer in 24 hours write us to theese e-mails:newsantaclaus@aol.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.

VT/HA/ID_RSM_WARE

Опознан как

ransomnote_email: newsantaclaus@aol.com
sample_extension: .id-<id>.[<email>].santa
sample_bytes: [0xBE0 - 0xC20] 0x00000000020000000CFE7A410000000000000000000000002000000000000000
custom_rule: Original filename "keygpg.rar" after filemarker

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa

safety · December 2018

+
Another #CrySiS / #Dharma #ransomware variant - extension ".bizer" - email address "silver@decryption.biz" https://www.virustotal.com/#/file/b03fe8e7f53f7f705b8a1a019b194a11d4f7a7c384099ef3b289e08e35b47ab8/detection …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer

safety · January 2019

+
New variant of #CrySiS / #Dharma - ".gif" extension - email "payadobe@yahoo.com" - https://www.virustotal.com/#/file/9ecc9ae378a335453d58fe44c95a8f5b40595b8a2e11eedfe86521e6f61fdbc1/detection … / https://beta.virusbay.io/sample/browse?q=9ecc9ae378a335453d58fe44c95a8f5b40595b8a2e11eedfe86521e6f61fdbc1 … cc @demonslay335 #MalwareAuthorsGoingBackToWorkAfterVacation
+
H-A

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif

safety · January 2019

+
#CrySiS / #Dharma #ransomware - ".AUF" extension - "Decisivekey@tutanota.com" - https://www.virustotal.com/#/file/5280edad1dcecca9b0542556a775961bc620c31a06f2fe6383792a6f300ed81e/detection … - cc @demonslay335

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf;

safety · January 2019

+
#CrySiS/#Dharma #ransomware again and again: extensions ".USA" and ".xwx", extortion email addresses "usacode@aol.com" and "data@decoding.biz". https://www.virustotal.com/#/file/35ade951e0713f31cbdc4844ea0e7c8ffff795efd6ab7e8d22fad5d3cf87ac0c/detection … https://www.virustotal.com/#/file/60f5a7aa2216c5688d56a59a0fe4e87320dd22f4606e2ad06dae0469c952b965/detection … cc @demonslay335

+
".best" - 'bestdecoding@cock.li' - https://www.virustotal.com/#/file/73bf556b35606c9b9ea033d4e93f057e890698126b0cc8cb7b85604c3688434f/detection …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best

safety · January 2019

+
набирает силу Phobos, который по ряду внешних признаков напоминает клон Crysis/Dharma:
1. по структуре заголовка зашифрованного файла:
filename + .ID-Hex[8].[mail].phobos
filename + .ID-84D66217.[bad_boy700@aol.com].phobos
2. по записке о выкупе:

однако же отличается от них по структуре зашифрованного файла:
нет характерных для Crysis/Dharma маркеров в конце зашифрованного файла, а так же нет наименования оригинала файла.
(но есть таки маркер почты в самом конце файла: bad_boy700@aol.com --BAB166. )

(которые есть в crysis/dharma)

00000000020000000CFE7A410000000000000000000000002000000000000000
0000000002000000FF50AEFF0000000000000000000000002000000000000000

safety · January 2019

+
New Dharma / CrySiS Ransomware variant appends ".heets" to encrypted file extensions.
Job1_11.PNG.id-085CDA53._polmacpol@cock.li_.heets
H-A/VT/ IDR

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets

safety · January 2019

Новая атака шифратора Shade нацелена на российских бизнес-пользователей

В январе 2019 года мы зафиксировали резкий рост числа обнаружений вредоносных почтовых вложений JavaScript (в 2018 году данный вектор атаки использовался минимально). В «новогоднем выпуске» можно выделить рассылку на русском языке, предназначенную для распространения шифратора Shade (он же Troldesh), который детектируется продуктами ESET как Win32/Filecoder.Shade.

https://habr.com/ru/company/eset/blog/437982/

January 2019 has seen a dramatic uptick in detections of malicious JavaScript email attachments, an attack vector that mostly lay dormant throughout 2018. Among the “New Year edition” of malicious spam campaigns relying on this vector, we have detected a new wave of Russian-language spam that distributes ransomware known as Shade or Troldesh, and detected by ESET as Win32/Filecoder.Shade.

https://www.welivesecurity.com/2019/01/28/russia-hit-new-wave-ransomware-spam/

safety · January 2019

+
'.qwex' - 'backdata@qq.com' #CrySiS #Dharma #ransomware https://www.virustotal.com/#/file/b50caa0122798f2ac48d63af82676f57ac2bdbe1f5d9662a1d14cff55f444b17/detection …
+
'.ETH' - helpfilerestore@india.com - https://www.virustotal.com/#/file/f6b1831e8f3968b96cac1c046846e3a1f46b9add401e14a2720a872286342951/detection …
+
'.air' - 'satco@tutanota.com' - https://www.virustotal.com/#/file/e0259f5e4c6f9fcbe12437c3e8d7c38f8775f5f9f77a88574ab470ad71a040c3/detection …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air

safety · February 2019

возможно, еще один клон Crysis:

#Paradise #ransomware - '.STUB' + 'paradise@all-ransomware.info' + 'Instructions with your files.txt' - https://www.virustotal.com/#/file/e42467e017214bb53145bd63578a569bd03186650e276634ee390304e1ba751d/detection …

safety · February 2019

+
'.888' - donald888@mail.fr - https://www.virustotal.com/#/file/8e31a1b861e61c077f2cd8957a4f1c2872a4a06da85c8e6bccefc7c7451d4fe4/detection …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888

safety · February 2019

+
'.amber' and '.frend' - 'korvin0amber@cock.li' and 'undogdianact1986@aol.com' - https://www.virustotal.com/#/file/ca8f6f2650d8bdcc25616fe247a73229ff73f2871612d111ba49bec41f21d2b5/detection … and https://www.virustotal.com/#/file/3235e03928b204a9586cbdf7956c83108e102d6a1538ef58c1c3812420c8908a/detection …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend

вариант .ETH/.[ethpay@airmail.cc].ETH/ уже есть на российских форумах.
https://virusinfo.info/showthread.php?t=221895

O4 - Startup other users: C:\Users\****\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta
O4 - Startup other users: C:\Users\****\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-48852CC7.[ethpay@airmail.cc].ETH
O4 - Startup other users: C:\Users\****\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.exe -> (PE EXE)

safety · February 2019

+
'.KARLS' - 'karlosdecrypt@outlook.com' - https://www.virustotal.com/#/file/c52e8e22a74c9eba98b265bc2c9438e9aa1664a7ed91d5d6a38191807358a0a1/detection …

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS

safety · February 2019

Ransomware Attacks Target MSPs to Mass-Infect Customers

Ransomware distributors have started to target managed service providers (MSPs) in order to mass-infect all of their clients in a single attack. Recent reports indicate that multiple MSPs have been hacked recently, which has led to hundreds, if not thousands, of clients being infected with the GandCrab Ransomware.

With the mass distribution of ransomware increasingly becoming more difficult through methods such a spam, attackers are coming up with more creative ways to infect their victims. This includes hacking into RDP, teaming up with criminal download monetization companies, renting the services of botnet operators, and now attacking MSPs.

A managed service provider is a company who remotely manages and supports the IT infrastructure and technical support for their clients. One of the benefits of an MSP is that they monitor their client's networks and proactively fix problems that they discover.

Распространители Ransomware начали нацеливаться на поставщиков управляемых услуг (MSP), чтобы заразить всех своих клиентов одной атакой. Недавние сообщения указывают на то, что в последнее время было взломано несколько MSP, что привело к заражению сотен, если не тысяч клиентов, с помощью GandCrab Ransomware.

Массовое распространение вымогателей становится все более затруднительным с помощью таких методов, как спам, злоумышленники находят более творческие способы заражения своих жертв. Это включает в себя взлом RDP, объединение усилий с компаниями, занимающимися монетизацией криминальных загрузок, аренду услуг операторов ботнетов и теперь атаку на MSP.

Поставщик управляемых услуг - это компания, которая дистанционно управляет и поддерживает ИТ-инфраструктуру и техническую поддержку своих клиентов. Одним из преимуществ MSP является то, что они контролируют сети своих клиентов и активно устраняют обнаруженные проблемы.

https://www.bleepingcomputer.com/news/security/ransomware-attacks-target-msps-to-mass-infect-customers/

safety · February 2019

+

#GandCrab 5.2 samples, probably response to the new decryptor

https://www.vmray.com/analyses/329b3ddbf1c0/report/overview.html …
https://www.virustotal.com/gui/file/329b3ddbf1c00b7767f0ec39b90eb9f4f8bd98ace60e2f6b6fbfb9adf25e3ef9/community …

safety · February 2019

+
'.aqva' - 'crypted_files@qq.com' - https://www.virustotal.com/#/file/57b7d93d19816aa8fd7987594ddd18e2f583285a02dfa74ce13381fe926766e6/detection … cc @demonslay335 #CrySiS #Dharma #ransomware

+
'.AYE' - 'sebekgrime@tutanota.com' - https://www.virustotal.com/#/file/3145ce9af8f1e44e2c0f0a9123f8201a3aab013c7bfaf1f120fa4d7e50a67259/detection … … cc @demonslay335 #CrySiS #Dharma #ransomware
+
'.korea' - 'omfg@420blaze.it' - https://www.virustotal.com/#/file/068f9ed02827dd12d13bdb8aaa42837e1a10a69fa065e87353daef8530584219/detection … cc @demonslay335 #CrySiS #Dharma #ransomware
+
'.plomb' - 'plombiren@hotmail.com' - https://www.virustotal.com/#/file/e4448bff0545df8f441f6b7a75a7e507483ee3b632f062ece72db8abb37ff6b1/detection
App.Any.Run
+
'.NWA' - 'dr.crypt@aol.com' - https://www.virustotal.com/#/file/e18a0428781c243fa909d0a8296312192d462a15a67fe978d0e8c58b99ff43f5/detection … #CrySiS #Dharma #ransomware

вариант с "NWA" уже есть на российских форумах:
https://forum.kasperskyclub.ru/index.php?showtopic=62227
+
'.com' ?‍♂ - 'trupm@protonmail.com' - https://www.virustotal.com/#/file/b8a87647159792fbf4e3b96609ecb8b465e493b8bc4491b760f82c1c2b662c7c/detection … #CrySiS #Dharma #ransomware

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com

safety · March 2019

+
'.azero' - 'cryptor55@cock.li' - https://www.virustotal.com/#/file/07d0532783a3c1f7007f7f58f4002a64083719f81d77c855a30c2441ebe97835/detection … #CrySiS #Dharma #ransomware

+
JakubKroustek:
'.bk666' - 'berserk666@tutanota.com' - https://www.virustotal.com/#/file/9b4612a52d0f9e52689383fa264c68300fd550af5f41f0af1acccef705d855c3/detection … #CrySiS #Dharma #ransomware
+
demonslay335:
#Dharma #Ransomware spotted on ID Ransomware with extension ".stun", email "unlockdata@foxmail.com"

JakubKroustek:
'.ms13' - 'ms_13@aol.com' - https://www.virustotal.com/#/file/7459000c5cd1fd22aa03849f734131539ef5dd3f0b58dad4d011261a430ad70f/detection … #CrySiS #Dharma #ransomware

*.[ms_13@aol.com].ms13 уже встречается на российских форумах:
https://virusinfo.info/showthread.php?t=222429

+

Jakub Kroustek:
‏'.carcn' - 'carcinoma24@aol.com' - https://www.virustotal.com/#/file/482722e411bf8148dc5b88b7ad234b02d000285efed9c7ad15e8f0eb9bd08434/detection … #CrySiS #Dharma #ransomware

*.[carcinoma24@aol.com].carcn уже есть на российских форумах:
https://forum.drweb.com/index.php?showtopic=331716

+
JakubKroustek:
'.btix' - 'encrypt11@cock.li' - https://www.virustotal.com/#/file/6a9fe57f144ce99ab8545a305ad8a94dc7f53fb7e8d0688c4d4f45d9400b576b/detection … #CrySiS #Dharma #ransomware
+
demonslay335:
#Dharma #Ransomware with extension ".gate" spotted on ID Ransomware

Here's a sample: https://www.virustotal.com/#/file/36b3ef72679ab1bdf384892aa721db4fb42971618510081d206d61a90ac3582d/detection … - '.gate' - 'lockhelp@qq.com' #CrySiS #Dharma #ransomware

+
JakubKroustek:
'.LOVE' - 'seeyoubro@tutanota.com' - https://www.virustotal.com/#/file/1c5c91bf6f4b2764070f050f0a64731cca2a68a419bfb4702cf8132b22c7283d/detection … - #CrySiS #Dharma #ransomware
+
".LDPR" - mr.crypt@aol.com
https://www.bleepingcomputer.com/forums/t/696218/infected-win-7-mrcryptaolcomldpr/
+

есть уже шифрования с .LDPR на российских форумах:
https://forum.kasperskyclub.ru/index.php?showtopic=62615
https://forum.esetnod32.ru/forum35/topic15282/

+
Michael Gillespie:
#Dharma #Ransomware extension ".FREDD" spotted on ID Ransomware.

+
Michael Gillespie:
#Dharma #Ransomware spotted on ID Ransomware with extension ".txt"

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt

safety · April 2019

GandCrab 5.3

#GANDCRAB V5.3 #Ransomware sample VT https://www.virustotal.com/en/file/1791e9d01451f953e74249019654609cd33c2ab66e97f2ed7a609e99f9ce8320/analysis/ …

https://app.any.run/tasks/beb0a281-30cb-4da3-9ec4-8c1de589bbbb

Спойлер

---= GANDCRAB V5.3 =---

***********************UNDER NO CIRCUMSTANCES DO NOT DELETE THIS FILE, UNTIL ALL YOUR DATA IS RECOVERED***********************

*****FAILING TO DO SO, WILL RESULT IN YOUR SYSTEM CORRUPTION, IF THERE ARE DECRYPTION ERRORS*****

Attention!

All your files, documents, photos, databases and other important files are encrypted and have the extension: .UJVDW

The only method of recovering files is to purchase an unique private key. Only we can give you this key and only we can recover your files.

Only us can recover your files

You need follow the next instructions:

safety · May 2019

+
JakubKroustek:
'.video' - 'tetty86@cock.li' - https://www.virustotal.com/#/file/18235049b46f8cbdf1ac47a48e84b9efb163aa89f9d38c07aca09d03c164a444/ … … - #CrySiS #Dharma #ransomware
+
demonslay335:
#Dharma #Ransomware with extension ".wal", email "decryptdocs@protonmail.com" spotted on ID Ransomware.
+
JakubKroustek:
'.MERS' - 'crypt1style@aol.com' - https://www.virustotal.com/#/file/14397f138ef0d80c00d8999d21e072973ecb1d49297d33478bda446117bf1f34/detection … - #CrySiS #Dharma #ransomware

R/n:RETURN FILES.txt и info.hta

уже есть на российских форумах:
https://forum.kasperskyclub.ru/index.php?showtopic=62738

вариант с шифрованием .drweb встречается уже на российских форумах:
https://virusinfo.info/showthread.php?t=222761

+
demonslay335:
#Dharma #Ransomware spotted on ID Ransomware with extension ".PLUT" and creative email "adolfhackler@tutanota.com"
+
Jakub Kroustek:
'.jack' - 'lockhelp@qq.com' - https://www.virustotal.com/#/file/57cc351d441fc30eb7c4f585ee35bfce5b32bb82ec8dd99f004043d5ace7bd90/ … and '.PLUT' - 'adolfhackler@tutanota.com' - https://www.virustotal.com/#/file/f70ea3eb366419d6535fd6e41ec408d24c0368a8323933a69e09077cc236b9b6/ … #CrySiS #Dharma #ransomware
+
'.DDOS' - 'decripted@cock.li' - https://www.virustotal.com/#/file/e66e7468f8206abe35e6be8b046f687c101e08fc93c51383ff075a46c4eb9b5b/ … #CrySiS #Dharma #ransomware
+
'.cry' - 'decryptoperator@qq.com' - https://www.virustotal.com/#/file/9c63223d5cc284ed38c982e4dd7e292289b96a836f4fd472e57a6803976b96b9/ … #CrySiS #Dharma #ransomware
+
'.4k' - 'rocosmon@cock.li' - https://www.virustotal.com/#/file/f7dbe91a4a782e5648dce337c8d67035fbdf41f423089c8ed83d816681b68b07/ … #CrySiS #Dharma #ransomware
+
'.TOR13' - 'chanelcrypt@aol.com' - https://www.virustotal.com/#/file/22b683b0e05f20e2f7a28deae8b605707c2f10791891212a982f16ac50cdb2a2/ … #CrySiS #Dharma #ransomware
+
'.good' - 'onecrypt@aol.com' - https://www.virustotal.com/#/file/51e52c47abfa87af9273727e943b9d81fd9a23c090e18ba5f838960fb727d771/ … #CrySiS #Dharma #ransomware
+
demonslay335:
#Dharma #Ransomware with extension ".qbx" spotted on ID Ransomware
+
Jakub Kroustek:
'.beets' - 'vombombom@cock.li' - https://www.virustotal.com/#/file/f6708aea2a0d9f1f01b62ba5624af05b249c296bab9dec0cc2d7dacc19660f20/ … #CrySiS #Dharma #ransomware
+
demonslay335:
#Dharma #Ransomware spotted with extension ".zoh", email "restdoc@protonmail.com" on ID Ransomware
+
#Dharma #Ransomware spotted with extension ".harma" on ID Ransomware

есть на российских форумах:
https://forum.kasperskyclub.ru/index.php?showtopic=63086
https://forum.kasperskyclub.ru/index.php?showtopic=63088
https://forum.esetnod32.ru/messages/forum35/topic15282/message106821/#message106821

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы без выкупа:

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; beets; .zoh; .harma

Привет, незнакомец!

Быстрые ссылки

Разделы

In this Discussion

Шифровирусы шумною толпою...

Комментарии