id-ransomware.blogspot.com Open in urlscan Pro
2a00:1450:4001:82f::2001  Public Scan

Form analysis
2 forms found in the DOM

Name: contact-form —

<form name="contact-form">
  <p></p> Имя <br>
  <input class="contact-form-name" id="ContactForm1_contact-form-name" name="name" size="30" type="text" value="">
  <p></p> Электронная почта <span style="font-weight: bolder;">*</span>
  <br>
  <input class="contact-form-email" id="ContactForm1_contact-form-email" name="email" size="30" type="text" value="">
  <p></p> Сообщение <span style="font-weight: bolder;">*</span>
  <br>
  <textarea class="contact-form-email-message" cols="25" id="ContactForm1_contact-form-email-message" name="email-message" rows="5"></textarea>
  <p></p>
  <input class="contact-form-button contact-form-button-submit" id="ContactForm1_contact-form-submit" type="button" value="Отправить">
  <p></p>
  <div style="text-align: center; max-width: 222px; width: 100%">
    <p class="contact-form-error-message" id="ContactForm1_contact-form-error-message"></p>
    <p class="contact-form-success-message" id="ContactForm1_contact-form-success-message"></p>
  </div>
</form>

https://id-ransomware.blogspot.com/search

<form action="https://id-ransomware.blogspot.com/search" class="gsc-search-box" target="_top">
  <table cellpadding="0" cellspacing="0" class="gsc-search-box">
    <tbody>
      <tr>
        <td class="gsc-input">
          <input autocomplete="off" class="gsc-input" name="q" size="10" title="search" type="text" value="">
        </td>
        <td class="gsc-search-button">
          <input class="gsc-search-button" title="search" type="submit" value="Поиск">
        </td>
      </tr>
    </tbody>
  </table>
</form>

Text Content

ШИФРОВАЛЬЩИКИ-ВЫМОГАТЕЛИ THE DIGEST "CRYPTO-RANSOMWARE"

Шифровальщик (вирус-шантажист). Защита от программ-шифровальщиков. Как удалить
вирус-шифровальщик?
Шифровальщики — это вредоносные программы, которые шифруют файлы и требуют выкуп
за их расшифровку.
Данный сайт — это ДАЙДЖЕСТ и ПЕРВОИСТОЧНИК информации о шифровальщиках и
всевозможных вымогателях.
Авторские статьи, инструкции для пострадавших, рекомендации по защите и
профилактике угрозы Ransomware.



 * Главная
 * Введение
 * Новости
 * Список
 * ID Ransomware
 * Глоссарий
 * Генеалогия
 * О блоге
 * Онлайн-заявление
 * Поддержка
 * Руководство для пострадавшего
 * Способы защиты
 * Комплекс защиты
 * Лучшие методы защиты
 * Ransomware FAQ
 * Как удалить Ransomware?
 * Дешифровщики
 * Anti-Ransomware
 * Заказ расшифровки
 * Помощь сайту
 * Нужна помощь?
 * Условия использования
 * Контакт
 * Тайные загрузки
 * 5 мифов о безопасности Windows
 * Freeware и криптовалюта
 * Отправить файл на анализ
 * Условия оправдания и реабилитации
 * Защита организации от Ramsomware
 * Анализ затрат и потерь от RW
 * Защита удаленной работы от RW
 * Защита RDP от RW
 * Защита бэкапов от RW






ПОНЕДЕЛЬНИК, 25 АПРЕЛЯ 2022 Г.


BLACK BASTA




BLACKBASTA RANSOMWARE


SAFEMODE RANSOMWARE


(ШИФРОВАЛЬЩИК-ВЫМОГАТЕЛЬ) (ПЕРВОИСТОЧНИК)
TRANSLATION INTO ENGLISH





Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации
алгоритмов AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы.
Оригинальное название: Black Basta. На файле написано: ADA1.exe. Самоназвание
группы вымогателей: Black Basta group.
---
Обнаружения:
DrWeb -> Trojan.DelShadows.20
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> Win32/Filecoder.OKW
Kaspersky -> HEUR:Trojan.Win32.DelShad.gen
Malwarebytes -> Malware.AI.3879235874
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Win32.Trojan.Filecoder.Lmay
TrendMicro -> TROJ_GEN.R002H09DP22
---

© Генеалогия: ??? >> Black Basta





Сайт "ID Ransomware" идентифицирует это как Black Basta. 




Информация для идентификации


Активность этого крипто-вымогателя была во второй половине апреля 2022 г.
Ориентирован на англоязычных пользователей, может распространяться по всему
миру. Первый известный случай Black Basta Ransomware произошел в Германии. 


К зашифрованным файлам добавляется расширение: .basta

Записка с требованием выкупа называется: readme.txt




Содержание записки о выкупе:

Your data are stolen and encrypted
The data will be published on TOR website if you do not pay the ransom
You can contact us and decrypt one file for free on this TOR site
(you should download and install TOR browser first https://torproject.org)
hxxxs://aazsbsgya565vlu2c6bzy6yfiebkcbtvvcytvolt33s77xypi7nypxyd.onion/
Your company id for log in: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

Перевод записки на русский язык:

Ваши данные украдены и зашифрованы
Данные будут опубликованы на TOR сайте, если вы не заплатите выкуп
Вы можете написать нам и расшифровать один файл бесплатно на TOR сайте
(сначала нужно скачать и установить TOR браузер https://torproject.org)
hxxxs://aazsbsgya565vlu2c6bzy6yfiebkcbtvvcytvolt33s77xypi7nypxyd.onion/
ID вашей компании для входа: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX


Другим информатором является изображение (файл dlaksjdoiwq.jpg), заменяющее обои
Рабочего стола. См. ниже. в разделе "Технические детали". 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи,
в обновлениях. Могут быть различия с первым вариантом. 





Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с
помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов,
эксплойтов, вредоносной рекламы, веб-инжектов, поддельного  установщика Adobe
Flash Player, перепакованных и заражённых инсталляторов. См. также "Основные
способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security
или Total Security, то хотя бы делайте резервное копирование важных файлов по
методу 3-2-1. 


➤ Использует Gh0st RAT для проникновения. 


➤ Заменяет обои Рабочего стола на свое изображение с текстом, что сеть
зашифрована и нужно прочитать файл readme.txt. Перезагружает компьютер,
используя функцию Shutdown с атрибутами (shutdown -r -f -t 0). 







После перезагрузки компьютера, система загружается в безопасном режиме (Safe
Mode), а зашифрованные файлы получают специальный значок. Среди файлов есть два
одинаковых файла readme.txt (одно и тоже название, один и тот же текст). 








➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления
Windows на этапе загрузки, загружает ПК в безопасном режиме с помощью команд:
C:\Windows\SysNative\vssadmin.exe delete shadows /all /quiet
C:\Windows\SysNative\bcdedit.exe /deletevalue safeboot
C:\Windows\SysNative\bcdedit /set safeboot network

➤ Изменяет внешний вид зашифрованных файлов с помощью собственного ico-файла. 




Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных,
фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
readme.txt - название файла с требованием выкупа;
dlaksjdoiwq.jpg - название файла изображения, заменяющего обои Рабочего стола; 
ADA1.exe, vsdebugconsole.exe - названия вредоносного файла;  
fkdjsadasd.ico - файл, используемый для иконок зашифрованных файлов. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Windows\TEMP\dlaksjdoiwq.jpg
C:\Windows\TEMP\fkdjsadasd.ico

Записи реестра, связанные с этим Ransomware:
\REGISTRY\USER\S-1-5-21-2277218442-1199762539-2004043321-1000\Control
Panel\Desktop\Wallpaper =
"C:\\Users\\Admin\\AppData\\Local\\Temp\\dlaksjdoiwq.jpg"
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxxs://aazsbsgya565vlu2c6bzy6yfiebkcbtvvcytvolt33s77xypi7nypxyd.onion/
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 
IOC: VT, HA, IA, TG, AR, VMR, JSB 
MD5: 3f400f30415941348af21d515a2fc6a3
SHA-1: bd0bf9c987288ca434221d7d81c54a47e913600a
SHA-256: 5d2204f3a20e163120f52a2e3595db19890050b2faa96c6cba6b094b0a52b0aa
Vhash: 055056655d15556148z76hz23z2fz
Imphash: ede5e0724f09124ab3994aacb2b361db


Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.




--------------------------------------------------------------------------------

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===




--------------------------------------------------------------------------------

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.




--------------------------------------------------------------------------------

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 0x01r3ddw4rf, PCrisk
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 


© Amigo-A (Andrew Ivanov): All blog articles. Contact.



Автор: Amigo A на 21:22
Отправить по электронной почтеНаписать об этом в блогеОпубликовать в
TwitterОпубликовать в FacebookПоделиться в Pinterest



КОММЕНТАРИЕВ НЕТ:





ОТПРАВИТЬ КОММЕНТАРИЙ

ВНИМАНИЕ!!!
Новые комментарии проверяются. Всё, кроме спама, вскоре будет опубликовано. Для
написания комментария вам нужен Google аккаунт.

ATTENTION!!!
Your new comment will be moderated. Please do not repeat. The spam will be
removed. To post a comment here, you must have a Google account.

Примечание. Отправлять комментарии могут только участники этого блога.



Предыдущее Главная страница

Подписаться на: Комментарии к сообщению (Atom)


ПОСТОЯННЫЕ ЧИТАТЕЛИ




MY TWEET FEED


Follow me!



MY PROFILE ON BC


Follow me!



ФОРМА ДЛЯ СВЯЗИ / CONTACT



Имя




Электронная почта *




Сообщение *












TRANSLATE / ПЕРЕВОД

Sprache
auswählenDeutschAfrikaansAlbanischAmharischArabischArmenischAserbaidschanischBaskischBelarussischBengalischBirmanischBosnischBulgarischCebuanoChichewaChinesisch
(traditionell)Chinesisch
(vereinfacht)DänischEnglischEsperantoEstnischFilipinoFinnischFranzösischFriesischGalizischGeorgischGriechischGujaratiHaitianischHausaHawaiischHebräischHindiHmongIgboIndonesischIrischIsländischItalienischJapanischJavanischJiddischKannadaKasachischKatalanischKhmerKinyarwandaKirgisischKoreanischKorsischKroatischKurdisch
(Kurmandschi)LaoLateinischLettischLitauischLuxemburgischMalagasyMalayalamMalaysischMaltesischMaoriMarathiMazedonischMongolischNepalesischNiederländischNorwegischOdia
(Oriya)PaschtuPersischPolnischPortugiesischPunjabiRumänischSamoanischSchottisch-GälischSchwedischSerbischSesothoShonaSindhiSinghalesischSlowakischSlowenischSomaliSpanischSuaheliSundanesischTadschikischTamilTatarischTeluguThailändischTschechischTürkischTurkmenischUigurischUkrainischUngarischUrduUsbekischVietnamesischWalisischXhosaYorubaZulu
Powered by Google Übersetzer



YANDEX SEARCH / ЯНДЕКС-ПОИСК






ХРОНОЛОГИЯ RANSOMWARE

 * ►  2010 (2)
   * ►  января (1)
   * ►  октября (1)

 * ►  2012 (3)
   * ►  февраля (1)
   * ►  марта (1)
   * ►  декабря (1)

 * ►  2013 (6)
   * ►  августа (2)
   * ►  сентября (2)
   * ►  декабря (2)

 * ►  2014 (10)
   * ►  марта (5)
   * ►  августа (1)
   * ►  сентября (1)
   * ►  октября (2)
   * ►  декабря (1)

 * ►  2015 (21)
   * ►  января (1)
   * ►  февраля (1)
   * ►  марта (2)
   * ►  апреля (2)
   * ►  мая (4)
   * ►  июля (1)
   * ►  августа (1)
   * ►  сентября (2)
   * ►  октября (2)
   * ►  ноября (3)
   * ►  декабря (2)

 * ►  2016 (338)
   * ►  января (13)
   * ►  февраля (14)
   * ►  марта (28)
   * ►  апреля (14)
   * ►  мая (32)
   * ►  июня (35)
   * ►  июля (26)
   * ►  августа (23)
   * ►  сентября (31)
   * ►  октября (37)
   * ►  ноября (40)
   * ►  декабря (45)

 * ►  2017 (551)
   * ►  января (40)
   * ►  февраля (39)
   * ►  марта (55)
   * ►  апреля (43)
   * ►  мая (82)
   * ►  июня (52)
   * ►  июля (52)
   * ►  августа (45)
   * ►  сентября (41)
   * ►  октября (32)
   * ►  ноября (35)
   * ►  декабря (35)

 * ►  2018 (281)
   * ►  января (25)
   * ►  февраля (23)
   * ►  марта (29)
   * ►  апреля (26)
   * ►  мая (20)
   * ►  июня (20)
   * ►  июля (31)
   * ►  августа (22)
   * ►  сентября (14)
   * ►  октября (20)
   * ►  ноября (28)
   * ►  декабря (23)

 * ►  2019 (221)
   * ►  января (32)
   * ►  февраля (16)
   * ►  марта (22)
   * ►  апреля (17)
   * ►  мая (13)
   * ►  июня (17)
   * ►  июля (18)
   * ►  августа (12)
   * ►  сентября (16)
   * ►  октября (21)
   * ►  ноября (19)
   * ►  декабря (18)

 * ►  2020 (247)
   * ►  января (25)
   * ►  февраля (24)
   * ►  марта (22)
   * ►  апреля (20)
   * ►  мая (22)
   * ►  июня (22)
   * ►  июля (19)
   * ►  августа (19)
   * ►  сентября (19)
   * ►  октября (22)
   * ►  ноября (18)
   * ►  декабря (15)

 * ►  2021 (170)
   * ►  января (20)
   * ►  февраля (11)
   * ►  марта (10)
   * ►  апреля (11)
   * ►  мая (18)
   * ►  июня (23)
   * ►  июля (10)
   * ►  августа (11)
   * ►  сентября (12)
   * ►  октября (13)
   * ►  ноября (14)
   * ►  декабря (17)

 * ▼  2022 (40)
   * ►  января (13)
   * ►  февраля (11)
   * ►  марта (12)
   * ▼  апреля (4)
     * NB65, ContiStolen
     * BlockZ
     * Phantom
     * Black Basta




OFFICE 2019 PRO PLUS 100% + ПРОМОКОД 30% СКИДКА


Office 2019 Pro Plus 100% + promocode 30% discount



ЯНДЕКС МЕТРИКА





SEARCH






КОЛИЧЕСТВО ПРОСМОТРОВ

5,796,458



FLAG COUNTER (SINCE JUNE 5, 2019)





ЯНДЕКС ИКС





МОЙ СБОРНИК ДЕШИФРОВЩИКОВ


Найди свой дешифровщик!





САМЫЕ ПОПУЛЯРНЫЕ СТАТЬИ

 * Black Basta
   BlackBasta Ransomware SafeMode Ransomware (шифровальщик-вымогатель)
   (первоисточник) Translation into English Этот крипто-вымогатель ши...
   
 * Phobos
   Phobos Ransomware Phobos 2.0 Ransomware Phobos NextGen Ransomware Phobos
   NotDharma Ransomware (шифровальщик-вымогатель) (первоисточник н...
   
 * Phantom
   Phantom Ransomware (шифровальщик-вымогатель) (первоисточник) Translation into
   English Этот крипто-вымогатель шифрует данные пользоват...
   
 * Industrial Spy
   Industrial Spy Extortion Group Industrial Spy Hacking Team Industrial Spy
   Doxware Industrial Spy Ransomware (хакеры-вымогатели, доксеры, ...
   
 * Sojusz
   Sojusz Ransomware Alliance Ransomware (шифровальщик-вымогатель)
   (первоисточник) Translation into English Этот крипто-вымогатель шифруе...
   
 * BlockZ
   BlockZ  Ransomware (шифровальщик-вымогатель) (первоисточник) Translation into
   English Этот крипто-вымогатель шифрует данные пользовате...
   
 * NB65, ContiStolen
   NB65 Ransomware ContiStolen Ransomware (шифровальщик-вымогатель)
   (первоисточник) Translation into English Этот крипто-вымогатель осно...
   
 * Список шифровальщиков
   Шифровальщики-вымогатели по алфавиту Crypto-Ransomware Alphabetical index  
   The Digest articles describe Crypto-Ransomware, Hybrid-Rans...
   
 * RU_Ransom
   RU_Ransom Ransomware RURansom Ransomware (шифровальщик-вымогатель, стиратель,
   деструктор, пугатель) (первоисточник) Translation into Eng...
   
 * AntiWar
   AntiWar  Ransomware (шифровальщик-не-вымогатель, деструктор) (первоисточник)
   Translation into English Этот крипто-вымогатель шифрует д...
   




© Amigo-A (Андрей Иванов): Все статьи блога. Технологии Blogger.





ORIGINALTEXT


Bessere Übersetzung vorschlagen

--------------------------------------------------------------------------------



Diese Website verwendet Cookies von Google, um Dienste anzubieten und Zugriffe
zu analysieren. Deine IP-Adresse und dein User-Agent werden zusammen mit
Messwerten zur Leistung und Sicherheit für Google freigegeben. So können
Nutzungsstatistiken generiert, Missbrauchsfälle erkannt und behoben und die
Qualität des Dienstes gewährleistet werden.Weitere InformationenOk