Flamingo

Flamingo Ransomware

Variants: Flamingo, LandSlide, Lizard, DoNotWorry, Summon, VILKAS, HYDRA 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA (разные комбинации), а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Flamingo и Flamingo Ransomware. На файле написано: Flamingo.exe. Вымогатели называют себя King Of Ransom. В последующих вариантах стали использоваться другие названия (см. в разделе обовлений). 
---
Обнаружения:
DrWeb -> Trojan.Encoder.32508
BitDefender -> Trojan.GenericKD.43799432, Trojan.GenericKD.43805854
Avira (no cloud) -> TR/FileCoder.ajkop, HEUR/AGEN.1129606
ESET-NOD32 -> Win32/Filecoder.ODG, A Variant Of Win32/Filecoder.ODG, Win32/Filecoder.Flamingo.A
Malwarebytes -> ***
Rising -> ***
Symantec -> Trojan Horse, ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Filecoder.Tdzl, Win32.Trojan.Filecoder.Wptp
TrendMicro -> TROJ_GEN.R069H0CIB20, TROJ_GEN.R023H0CIC20, TROJ_GEN.R03BC0PJE20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: TheDRM >> Flamingo, LandSlide, Lizard, DoNotWorry

 

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .FLAMINGO

Фактически используется составное расширение по формату [<email>][ID=XXXXXXXX]<filename>.FLAMINGO

Пример зашифрованного файла: [[email protected]][ID=0EA5BCFF]document001.doc.FLAMINGO


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало сентября 2020 г. Штамп даты: 21 августа 2020. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: #READ ME.TXT

Содержание записки о выкупе:

||||||||----[ All your data is encrypted by a strong encryter called FLAMINGO ]----||||||||

================================== # Unique ID : 10B65F10

================================== # E-mail : [email protected]

############################################################################################

" PLEASE BE CAREFUL " : 

if your data is important to you, And you want to make a payment, be sure 

to send us a test file first(3 Mb),And make sure we have the ability to 

open your files(Decrypt test files).So first send the test file to prove 

that we can decrypt your files, Then make a payment (Buy BTC) and receive the 

decryption tool (Send Decrypter).

############################################################################################

If you do not receive a reply after sending us an email,

please send an email to the second email address.

second E-mail : [email protected]

############################################################################################

Перевод записки на русский язык:

||||||||----[Все ваши данные зашифрованы надежным шифровальщиком FLAMINGO]----||||||||

================================== # Уникальный ID: 10B65F10

================================== # Email: [email protected]

################################################ #########################################

" ПОЖАЛУЙСТА, ОСТОРОЖНО " :

если ваши данные важны для вас, и вы хотите заплатить, обязательно

сначала пришлите нам тест-файл (3 Мб) и убедиться, что у нас есть возможность

открыть ваши файлы (расшифровать тест-файлы). Так что сначала пришлите тест-файл для проверки

что мы можем расшифровать ваши файлы, затем сделайте оплату (купите BTC) и получите инструмент дешифрования (Send Decrypter).

############################################### #########################################

Если вы не получили ответа после отправки нам email,

отправьте email на второй email-адрес.

второй E-mail: [email protected]

############################################### #########################################

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Flamingo.exe - название вредоносного файла; 
#READ ME.TXT - название файла с требованием выкупа, в более новых вариантах название может быть другим; 
<random>.exe - случайное название вредоносного файла;
key.txt - специальный файл. 

Расположения:
\Desktop\ ->
\User_folders\ ->

\%USERPROFILE%\Crypto\
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: [email protected]

[email protected]
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT>
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

TheDMR Ransomware - с декабря 2019 по октябрь 2020 с вариантами DMR64, Clown, NotFound, Clown+, Valley, ALVIN

Flamingo Ransomware - с сентября 2020 в 2021 год с вариантами: 

Flamingo - сентябрь 2020

LandSlide - ноябрь 2020

Lizard - ноябрь 2020 - январь 2021

DoNotWorry - январь 2021

Summon - январь 2021

Vilkas - март 2021

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 14 октября 2020: 

Пост на форуме >>

Расширение: .FLAMINGO

Пример зашифрованого файла: [[email protected]][ID=28C68F19]Configuracion.pdf.FLAMINGO

Email: [email protected], [email protected]

Записка: #READ ME.TXT

Вариант от 25 октября 2020:

Расширение: .FLAMINGO

Пример зашифрованного файла: [[email protected]][ID=C0BCDB10]eula.1033.txt.FLAMINGO

Email: [email protected], [email protected]

Записка: #READ ME.TXT

Файл проекта: 

C:\Users\AnonyMous\Documents\Visual Studio 2015\Projects\Binary\Release\ConsoleApplication7.pdb

Результаты анализов: VT + AR + IA + TG

Вариант от 14 октября 2020: 

Расширение: .FLAMINGO

Пример зашифрованого файла: [[email protected]][ID=ECBE3D7C]Filename.docx.FLAMINGO

Email: [email protected], [email protected]

Записка: #READ ME.TXT

Вариант от 16 ноября 2020:

Сообщение >>

Расширение: .LIZARD

Пример зашифрованного файла: [[email protected]][id=460B22EA]Filename.docx.LIZARD

Записка: #READ ME.TXT

Email: [email protected], [email protected]

Вариант от 24 ноября или раньше:

Отдельная статья LandSlide Ransomware >>
Вымогатели называют себя King Of Ransom LANDSLIDE Ran$omW4rE.

Топик на форуме >>

Расширение: .LANDSLIDE

Составное расширение (шаблон): [<email_ransom>][id=XXXXXXXX]Document.pdf.LANDSLIDE

Составное расширение (пример): [[email protected]][id=D2C85***]Document.pdf.LANDSLIDE

Email: [email protected], [email protected]

Записки: #ReadThis.HTA, #ReadThis.TXT

➤ Содержание записки о выкупе: 

Your SERVER/COMPUTER is encrypted by us !_

Hello Admin/Guest!

[ENCRYPTER] => All your data is encrypted by us ..

[ENCRYPTER] => Your Server Unique ID : [D2C85***]

[ENCRYPTER] => Do you want to decrypt your data?

[ENCRYPTER] => To trust us, first send us a 100-200 KB file,

we will decrypt it to build trust for you.

[AFTERTRUST] => What should you do after building trust?

Help

(

All your data is encrypted,

If your data is important and you want to decrypt it,

You must pay the bitcoin amount set by us,

Send a message to our emails first, after pricing, us and your trust,

Do a Google search to buy bitcoins,

For example: "Buy bitcoins in rubles".

After purchasing Bitcoin, you must 

transfer the Bitcoin to our wallet,

After payment, the decryption tool will be sent to you

along with how to execute it properly

)

ENCRYPTER@server ~ $ To contact us, first send a message to our first email.

[FiRsT Email:] [email protected]

ENCRYPTER@server # If your email is not answered after 24 hours, our email may be blocked.

So send a message to our second email.

[SeCoNd email:] [email protected]

King Of Ransom

LANDSLIDE Ran$omW4rE

Вариант от 30 декабря 2021:

Сообщение >>

Расширение: .LIZARD

Пример зашифрованного файла: [[email protected]][id=365430DB]Filename.docx.LIZARD

Email: [email protected], [email protected]

Записки: #ReadThis.TXT, #ReadThis.HTA

➤ Содержание записки: 

Your SERVER/COMPUTER is encrypted by us !_

Hello Admin/Guest!

[ENCRYPTER] => All your data is encrypted by us ..

[ENCRYPTER] => Your Server Unique ID : [ XXXXXXXX ]

[ENCRYPTER] => Do you want to decrypt your data?

[ENCRYPTER] => To trust us, first send us a 100-200 KB file,

we will decrypt it to build trust for you.

[AFTERTRUST] => What should you do after building trust?

Help

(

All your data is encrypted,

If your data is important and you want to decrypt it,

You must pay the bitcoin amount set by us,

Send a message to our emails first, after pricing, us and your trust,

Do a Google search to buy bitcoins,

For example: "Buy bitcoins in rubles".

After purchasing Bitcoin, you must 

transfer the Bitcoin to our wallet,

After payment, the decryption tool will be sent to you

along with how to execute it properly

)

ENCRYPTER@server ~ $ To contact us, first send a message to our first email.

[FiRsT Email:] [email protected]

ENCRYPTER@server # If your email is not answered after 24 hours, our email may be blocked.

So send a message to our second email.

[SeCoNd email:] [email protected]

King Of Ransom

LIZARD Ran$omW4rE

---

Важное дополнение! 

Пострадавшие сообщают о том, что атака с шифрованием файлов началась сразу после установки расширения для браузера Touch VPN - Secure and unlimited VPN proxy: xxxxs://chrome.google.com/webstore/detail/touch-vpn-secure-and-unli/bihmplhobchoageeokmgbdihknkjbknd/

Вариант от 10-11 января 2021: 

Расширение: .LIZARD

Пример зашифрованного файла: [[email protected]][id=2C123E45]document.txt.LIZARD

Email: [email protected], [email protected]

Записка: #ReadThis.TXT

Вариант от 10-11 января 2021: 

Сообщение >>

Топик на форуме >>

Топик на форуме >>

Топик на форуме >>

Расширение: .DoNotWorry

Пример зашифрованного файла: [[email protected]][id=165F421C]document.txt.DoNotWorry

Дополнительные файлы: 

[ID=165F421C][ID=165F421C][ID=165F421C][id=165F421C]versions.txt

[id=165F421C]part1603.log

Email: [email protected], [email protected]

Записки: #ReadThis.TXT, #ReadThis.HTA

➤ Содержание записки: 

Your SERVER/COMPUTER is encrypted by us !_

Hello Admin/Guest!

[ENCRYPTER] => All your data is encrypted by us ..

[ENCRYPTER] => Your Server Unique ID : [ B8D91*** ]

[ENCRYPTER] => Do you want to decrypt your data?

[ENCRYPTER] => To trust us, first send us a 100-200 KB file,

we will decrypt it to build trust for you.

[AFTERTRUST] => What should you do after building trust?

Help

(

All your data is encrypted,

If your data is important and you want to decrypt it,

You must pay the bitcoin amount set by us,

Send a message to our emails first, after pricing, us and your trust,

Do a Google search to buy bitcoins,

For example: "Buy bitcoins in rubles".

After purchasing Bitcoin, you must 

transfer the Bitcoin to our wallet,

After payment, the decryption tool will be sent to you

along with how to execute it properly

)

ENCRYPTER@server ~ $ To contact us, first send a message to our first email.

[FiRsT Email:] [email protected]

ENCRYPTER@server # If your email is not answered after 24 hours, our email may be blocked.

So send a message to our second email.

[SeCoNd email:] [email protected]

King Of Ransom

Вариант от 14 января 2021:

Топик на форуме >>

Топик на форуме >>

Расширение: .Summon 

Пример зашифрованного файла: [[email protected]][id=C879E678]SQLAGENT.8.SUMMON

Email: [email protected], [email protected]

Записки: #ReadThis.TXT, #ReadThis.HTA

➤ Содержание записки: 

Your SERVER/COMPUTER is encrypted by us !_

Hello Admin/Guest!

[ENCRYPTER] => All your data is encrypted by us ..

[ENCRYPTER] => Your Server Unique ID : [ C879E*** ]

[ENCRYPTER] => Do you want to decrypt your data?

[ENCRYPTER] => To trust us, first send us a 100-200 KB file,

we will decrypt it to build trust for you.

[AFTERTRUST] => What should you do after building trust?

Help

(

All your data is encrypted,

If your data is important and you want to decrypt it,

You must pay the bitcoin amount set by us,

Send a message to our emails first, after pricing, us and your trust,

Do a Google search to buy bitcoins,

For example: "Buy bitcoins in rubles".

After purchasing Bitcoin, you must 

transfer the Bitcoin to our wallet,

After payment, the decryption tool will be sent to you

along with how to execute it properly

)

ENCRYPTER@server ~ $ To contact us, first send a message to our first email.

[FiRsT Email:] [email protected]

ENCRYPTER@server # If your email is not answered after 24 hours, our email may be blocked.

So send a message to our second email.

[SeCoNd email:] [email protected]

King Of Ransom

SUMMON Ran$omW4rE

Вариант от 7 марта 2021:

Пост на форуме >>

Расширение: .VILKAS

На литовском языке vilkas - это волк. 

Пример зашифрованного файла: [[email protected]][id=7C8AEE25]image001.jpg.VILKAS

Email: [email protected], [email protected]

Вариант от 14 апреля 2021: 

Расширение: .LIZARD

Пример зашифрвоанного файла: [[email protected]][id=AE5C31C3]11-01-2021.zip.LIZARD

Записки: #ReadThis.TXT, #ReadThis.HTA

Email: [email protected], [email protected]

Варианты от 30 июля 2021: 

Мое сообщение >>

Расширение: .HYDRA

Пример зашифрованного файла: [[email protected]][ID=86046FB8]original_filename.HYDRA

Записка: #FILESENCRYPTED.txt

Email: [email protected], [email protected]

Результаты анализов: VT 

Вариант от 18 августа 2021:

Сообщение >>

Расширение: .HYDRA

Пример зашифрованного файла: [[email protected]][ID=victim's_ID]original_filename.HYDRA

Записка: #FILESENCRYPTED.txt

Email: [email protected]

Результаты анализов: VT + AR

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34351

BitDefender -> Gen:Variant.Ransom.Hydra.1

ESET-NOD32 -> Win32/Filecoder.OIH

Kaspersky -> HEUR:Trojan-Ransom.Win32.DMR.gen

Microsoft -> Ransom:Win32/Hydra.PAC!MTB

Вариант от 1 октября 2021:

Самоназвание: HYDRA Ransomware

Сообщение >>

Мое сообщение >>

Расширение: .HYDRA

Пример зашифрованного файла: [[email protected]][ID=0C287F38]desktop.ini.HYDRA

Записка: #FILESENCRYPTED.txt

Специальный файл: D9F57D92.txt

Email: [email protected], [email protected]

Mutex: Local\$hYdr4Rans$

Результаты анализов: VT + IA + TG + HA

Обнаружения: 

DrWeb -> Trojan.Encoder.34431

ALYac -> Gen:Variant.Ransom.Hydra.1

BitDefender -> Gen:Variant.Ransom.Hydra.1

ESET-NOD32 -> A Variant Of Win32/Filecoder.OIH

Kaspersky -> HEUR:Trojan-Ransom.Win32.DMR.gen

Malwarebytes -> Malware.AI.2453785575

Microsoft -> Ransom:Win32/Hydra.PAC!MTB

Symantec -> ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Filecoder.Wrgf

TrendMicro -> Ransom_Hydra.R002C0DJ121

Вариант от 8 ноября 2021: 

Расширение: .HYDRA

Пример зашифрованного файла: [[email protected]][ID=7CA06C98]Навес 3D.pdf.HYDRA

Записка: #FILESENCRYPTED.txt

Email: [email protected], [email protected]

=== 2022 ===

Вариант от 9 января 2022: 

Сообщение >>

Расширение: .DRWEB

Пример зашифрованного файла (реконструкция, не подтверждено): [[email protected]][ID=7CA06C98]document.pdf.DRWEB

Записка: #FILESENCRYPTED.txt

Email: [email protected], [email protected]

Вариант от 10 мая 2022:

Сообщение >>

Расширение: .HYDRA

Пример зашифрованного файла: [[email protected]][ID=XXXXXXXX]PICT0001.JPG.HYDRA

Записка: #FILESENCRYPTED.txt

Email: [email protected], [email protected]

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Flamingo или некоторые под The DRM)
 Write-up, Topic of Support
 * 

Внимание! 
В некоторых случаях файлы можно расшифровать. 
Закажите расшифровку в DrWeb по ссылке: 
https://legal.drweb.ru/encoder/?lng=ru
https://legal.drweb.com/encoder/?lng=en

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 Alex Svirid, Sandor
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.