Сделайте Добро!

TRANSLATION INTO ENGLISH

TRANSLATION INTO FRENCH

TRANSLATION INTO SPANISH

Спасибо, что зашли к нам сегодня!

Станьте Добрым Волшебником, помогите детям! 

С 2016 года мы помогаем людям делать добрые дела вместе с проверенными фондами. Вы можете выбрать кому помочь сейчас. 

Просто знайте, что завтра проснётся ребёнок, которому вы помогли сегодня! Каждый пожертвованный рубль действительно решает судьбы детей. Поэтому, пожалуйста, не думайте, что ваши 50, 100, 500 рублей (долларов или евро) не спасут жизнь. 

Сделать Доброе Дело можно здесь и сейчас

Нажмите на ссылку и на открывшемся сайте выберите кому Вы хотите помочь. Любая денежная сумма пойдет на доброе дело, поможет людям или животным. Если люди еще могут как-то помочь друг другу, то животные, наши милые меньшие братья-сестры, сами себе не помогут. Наши предки говорили: «Вернее собаки зверя нет! Милее кошки зверя нет!»... И были тысячи раз правы.

Махатма Ганди говорил: «Величие и моральный прогресс нации можно измерить тем, как эта нация относится к животным». Ученые, мыслители, врачи разных эпох отмечали прямую взаимосвязь бесправия животных с бесправием людей: тому, кто спокойно убивает животное, не составит труда убить и человека. 

Всякий раз, когда Вы получаете зарплату или деньги за сделанную работу, пожертвуйте хоть 100 рублей (долларов или евро) на Доброе дело! И Добро вернётся к Вам сторицей! 

© Amigo-A (Andrew Ivanov) и Добро Mail.ru (Россия) 

DireWolf

DireWolf Ransomware

DireWolf Doxware

DireWolf Hacking Group

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов, а затем требует связаться с вымогателями через чат на сайте в сети Tor, чтобы узнать как заплатить выкуп и вернуть свои файлы. Оригинальное название: DireWolf. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ESET-NOD32 -> 
Kaspersky -> 
Malwarebytes -> 
Microsoft -> 
Rising -> 
Tencent -> 
TrendMicro -> 
---

© Генеалогия: родство выясняется >> DireWolf

Сайт "ID Ransomware" идентифицирует DireWolf c 29 мая 2025 г. 

Информация для идентификации

Активность вымогателей была замечена в конце мая - начале июня 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших компании в разных странах: Австралия, Бахрейн, Индия, Италия, Канада, Мексика, Сингапур, Таиланд, Тайвань, Франция. 

К зашифрованным файлам добавляется расширение: *нет данных*.
Фактически используется составное расширение по шаблону: 

Записка с требованием выкупа называется: *нет данных*.

Содержание записки о выкупе:
***

Скриншоты с сайта вымогателей:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: -

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 DarkFeed
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Veluth

Veluth Ransomware

Veluth Decrypter 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем предлагает связаться с помощью приложения Signal или найти файл VeluthDecrypter на Рабочем столе и расшифровать файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> *** / ***
BitDefender -> Generic.Malware.SPH2.DB1B6F02 / Gen:Variant.Tedy.768861
ESET-NOD32 -> *** / A Variant Of WinGo/Filecoder.LY
Kaspersky -> HEUR:Trojan.Win32.Generic
Microsoft -> Trojan:Win32/Sabsik.EN.A!ml / Program:Win32/Wacapew.C!ml
Rising -> Ransom.Agent!1.129F5 (CLASSIC) / Trojan.Undefined!8.1327C (CLOUD)
Tencent -> ***
TrendMicro -> Trojan.Win32.VSX.PE04C9Z / TROJ_GEN.R002H09F125
---

© Генеалогия: родство выясняется >> Veluth

Сайт "ID Ransomware" Veluth пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был обнаружен в конце мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .veluth

Записка с требованием выкупа называется: !!!READ_ME_VELUTH!!!.txt

Содержание записки о выкупе:

ID: 2Z4NPWQ01IW****

!!! YOUR FILES HAVE BEEN ENCRYPTED BY VELUTH !!!

To recover your data, you must:

1. Contact us via Signal (Available on PlayStore & Apple Store): @Veluth.01

2. Provide your ID shown above

3. Comply with our orders

4. You will receive decryption software after you have maintained our orders

WARNING:

- Do NOT modify encrypted files.

- Do NOT attempt decryption without our tools.

- If you do you your files will be irrecoverable.

- If you don't contact us within 24 hours your files will be encrypted FOREVER.

REMEMBER NO LAW ENFORCEMENT CANT SAVE YOU ONLY WE CAN DECRYPT YOUR FILES!

В аккаунте foss-relations на github.com содержится изображение с информацией для дешифрования. 

Содержание текста на изображении:

Woah! Looks like your shit has been encrypted by Veluth.

To Decrypt your files, Open "VeluthDecrypter" on Desktop or Start Menu.

If you cannot find, the program then your antivirus removed the decrypt software or you deleted it. To restore it please unquarantine it on your antivirus program.

Keep in mind the decryption software is necessary for the file decryption using key.

# QNA on "veluth.readme.txt" .

То есть создатель программы предлагает найти на рабочем столе или в карантине антивируса файл VeluthDecrypter.exe и расшифровать файлы без уплаты выкупа. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

.3GP, .7Z, .AAC, .ABAP, .ACCDB, .ADA, .AES, .AI, .AIFF, .AMR, .APE, .ARC, .AS, .ASC, .ASF, .ASM, .ASP, .AVI, .BACKUP, .BAK, .BASH, .BAT, .BMP, .BRD, .BZ2, .C, .CGM, .CLASS, .CLJ, .CMD, .COB, .CPP, .CR, .CRT, .CS, .CSR, .CSV, .D, .DB, .DBF, .DCH, .DER, .DIF, .DIP, .DJVU, .DOC, .DOCB, .DOCM, .DOCX, .DOT, .DOTM, .DOTX, .DWG, .EDB, .EML, .EPS, .EX, .EXS, .F, .F4V, .F90, .F95, .FLA, .FLAC, .FLV, .FRM, .GIF, .GO, .GPG, .GZ, .H, .HEIC, .HPP, .HWP, .HX, .IBD, .ICO, .IPYNB, .ISO, .JAR, .JAVA, .JPEG, .JPG, .JS, .JSP, .JSX, .KEY, .KT, .KTS, .LAY, .LAY6, .LDF, .LSP, .LUA, .LUOP, .LZH, .M, .M2TS, .M4A, .M4V, .MAX, .MDB, .MDF, .MID, .MKV, .ML, .MML, .MOV, .MP3, .MP4, .MPEG, .MPG, .MSG, .MTS, .MYD, .MYI, .NEF, .NIM, .ODB, .ODG, .ODP, .ODS, .ODT, .OGG, .ONETOC2, .OPUS, .OST, .OTG, .OTP, .OTS, .OTT, .P, .PAQ, .PAS, .PDF, .PEM, .PFX, .PHP, .PL, .PNG, .POT, .POTM, .POTX, .PPAM, .PPS, .PPSM, .PPSX, .PPT, .PPTM, .PPTX, .PSD, .PST, .PY, .PYW, .QL, .R, .RAR, .RAW, .RB, .RE, .RKT, .RS, .RTF, .SCH, .SCM, .SH, .SLDM, .SLDX, .SLK, .SLN, .SML, .SNT, .SQL, .SQLITE, .SQLITE3, .SQLITEDB, .STC, .STD, .STI, .STW, .SUO, .SV, .SVG, .SWF, .SWIFT, .SXC, .SXD, .SXI, .SXM, .SXW, .TAR, .TBK, .TGZ, .TIF, .TIFF, .TS, .TSX, .TXT, .UOT, .V, .VB, .VBA, .VBS, .VCD, .VDI, .VHD, .VHDX, .VMDK, .VMX, .VOB, .VSD, .VSDX, .WAV, .WEBM, .WEBP, .WKS, .WMA, .WMV, .XLC, .XLM, .XLS, .XLSB, .XLSM, .XLSX, .XLT, .XLTM, .XLTX, .XLW, .XZ, .ZIP, .ZSH  

Файлы, связанные с этим Ransomware:
!!!READ_ME_VELUTH!!!.txt - название файла с требованием выкупа;
veluth.exe - название вредоносного файла;

VeluthDecrypter.exe - название вредоносного файла.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
Global\VeluthRansomwareInstance

См. ниже результаты анализов.

Сетевые подключения и связи:
Signal: @Veluth.01

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: de17d587e4e70e4eba14ed51a0dd57dd 

SHA-1: c06cc2622c5544ba39ed7c2f3dc904b4e99b3ccc 

SHA-256: c9f3ecf7342fa7ed94061f0bb906f04bc8789c14fb80b3bf2f656e7954a9e39b 

Vhash: 0940a65d157d05151c051133z12z317z37z43z21z8bz 

Imphash: 27b05b2176448fb659053a795c1d5cbe

---

IOC: VT, HA, IA, TG, AR

MD5: 263f232fb3a41f96b758c9f32c9768f1 

SHA-1: e2184a091f21032fcdd1bf66dae18b19689560d2 

SHA-256: 5fa602428b77ab30beccb0ef1f566de5461abb91bf168acb982074a7761d9286 

Vhash: 0940a65d157d05151c051133z12z2f7z37z43z21z8bz 

Imphash: e8841ffb160c17a8a596367a324ceb45

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 1 июня 2025:

Записка: veluth.readme.txt

Файл: eluthist.exe

IOC: VT, IA, TG

MD5: 61105859aeff2053065b5d479d710cad 

SHA-1: 96fb8bb8aad43a08d983dad4bb1fb51cdbc97d9e 

SHA-256: a7a98ca295fc50e3feec3ee0e8a147afa9e53223bf11bc1262cf211dea731d83 

Vhash: 017086655d55551d15541az2e!z 

Imphash: d42595b695fc008ef2c56aabd8efd68e

➤ Обнаружения: 

DrWeb -> ***

BitDefender -> Gen:Variant.Tedy.768861

ESET-NOD32 -> A Variant Of WinGo/Filecoder.LY

Malwarebytes -> Generic.Malware.AI.DDS

Microsoft -> Program:Win32/Wacapew.C!ml

Rising -> Trojan.Undefined!8.1327C (CLOUD)

TrendMicro -> TROJ_GEN.R002H09F125

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Bitshadow
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

GopherWare

GopherWare Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью  алгоритма SHA-256, а затем просто сообщает о том, что случилось. Оригинальное название: Gopher и GopherWare. На файле написано: gopher.exe.

---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> MSIL/Filecoder.BKL
Kaspersky -> Trojan-Ransom.Win32.Encoder.adkh
Malwarebytes -> ***
Microsoft -> ***
Rising -> Ransom.Agent!8.6B7 (CLOUD)
Tencent -> Malware.Win32.Gencirc.148bbb5b
TrendMicro -> ***
---

© Генеалогия: родство выясняется >> GopherWare

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в конце мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .gph

Тексты с требованием выкупа и результата расшифровки файлов пишутся на экране блокировки: 

Содержание текста от вымогателей:

LOOKS LIKE YOU MESSED UP! YOUR FILES HAVE BEEN PERMANENTLY ENCRYPTED BY GOPHERWARE 

(WHAT HAPPENED?) YOUR FILES HAVE BEEN ENCRYPTED USING THE SHA265 ENCRYPTION ALGORITIHIM DONT EVEN TRY AND RECOVER THEM AS YOU WILL JUST END UP BREAKING THEM LOLOLOLOL

Перевод записки на русский язык:

ПОХОЖЕ, ТЫ ОБЛАЖАЛСЯ! ТВОИ ФАЙЛЫ НАВСЕГДА ЗАШИФРОВАНЫ GOPHERWARE

(ЧТО СЛУЧИЛОСЬ?) ТВОИ ФАЙЛЫ ЗАШИФРОВАНЫ С АЛГОРИТМОМ ШИФРОВАНИЯ SHA265. 

ДАЖЕ НЕ ПЫТАЙСЯ ВОССТАНОВИТЬ ИХ, ТАК ТЫ ИХ ПРОСТО ИСПОРТИШЬ LOLOLOLOL

Другой текст, который выводится на экране:

Enter passkey to decrypt:

Incorrect passkey. Try again.

Passkey accepted. Decrypting files...

Your files have been restored, it is now safe to close this window. Press any key to exit...

[ALERT] Corrupted file structure. Deleting:

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
gopher.dll, gopher.exe - названия вредоносных файлов.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\Admin\AppData\Local\Temp\gopher.exe

C:\Users\Deau4th\source\repos\gopher\gopher\obj\Release\net8.0\win-x64\gopher.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR

MD5: e978ed8661add9e3a1a75c16aea82154 

SHA-1: 906ae72caef3ab8cc7832667c7fe8da41db14457 

SHA-256: 1c48b66677f3ce0db85a38156c71d61f5afefa8c1bbe8cb5538e920778a63a56 

Vhash: 0670a666155d156d1d055148zc46z121c5z13z2ez5 

Imphash: 4b1892ce4fbcfcf064c6f69d693fc6a5

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

PyTemp

PyTemp Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: main.exe. Написан на языке программирования Python. 
---
Обнаружения:
DrWeb -> ***
BitDefender -> ***
ESET-NOD32 -> ***
Kaspersky -> UDS:Trojan-Ransom.Win32.Encoder
Microsoft -> Program:Win32/Wacapew.C!ml
Rising -> ***
Tencent -> ***
TrendMicro -> ***
---

© Генеалогия: другие Python-based >> PyTemp

Сайт "ID Ransomware" Python-Temp пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .temp

Записка с требованием выкупа называется: *** нет данных ***


Содержание записки о выкупе:
***


✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа;
main.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 40763cef76f7d446f18e603a5b58ba9f 

SHA-1: c8a46aef32cb670a179182e989062ee22edcc967 

SHA-256: 55e69954973f40718e6462573576a39158eba9865816aba4e4d6ff22fac80d2f 

Vhash: 086076655d155d05755048z6dnzefz 

Imphash: 33742414196e45b8b306a928e178f844

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 Petrovic
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Desolator

Desolator Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью комбинации алгоритмов AES+RSA, а затем требует связаться с вымоагтелями через сайт в сети Tor или посредством Messenger, чтобы узнать, как заплатить выкуп и вернуть свои файлы. Оригинальное название: Desolator Ransomware. На файле написано: desolator.exe.
---
Обнаружения:
DrWeb -> ***
BitDefender -> Trojan.GenericKD.76391095
ESET-NOD32 -> ***
Kaspersky -> Trojan-PSW.Win64.Stealer.altu
Malwarebytes -> Malware.AI.1956249436
Microsoft -> Ransom:Win32/Avaddon!rfn
Rising -> Ransom.LockFile!8.12D75 (CLOUD)
Tencent -> Malware.Win32.Gencirc.147630f3
TrendMicro -> Ransom.Win64.DESOLATOR.THEAABE
---

© Генеалогия: родство выясняется >> Desolator

Сайт "ID Ransomware" Desolator пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в начале мая 2025 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

К зашифрованным файлам добавляется расширение: .desolated

Записка с требованием выкупа называется: RecoverYourFiles.txt

Содержание записки о выкупе:

DECRYPTION ID:  3Y49O85TYLYU8TLO5**********

ALL YOUR FILES HAVE BEEN ENCRYPTED 

If you are reading this, your system has been compromised.

all your important files are SECURLY LOCKED ,including:

. Documents

. Photos

. Videos

. Music

. Databases

. Archives

. Projects

etc...

We are not politically motivated, our motivations are purely financial.

we are an independent group of security professionals. 

we have no ties to any government or entity.

HOW TO DECRYPT YOUR FILES 

( OPTIONS 1 ):

1. Download Tor Browser from here, and connect to the onion network:

https://www.torproject.org/download/

2. Contact our support team BEFORE THE DEADLINE at this onion link:

hxxxs://ghe678ihyi8khy8kh5rt87ku8tg34sh5tecvjbkramlkgmjhlkergh8423yumtghw8543mulyb5m.onion

3. Send your DECRYPTION ID mentioned at the top of this file.

4. Our team will respond for negotiation and payments 

( OPTIONS 2 ):

1. Download  Session Messenger from here:

https://getsession.org/

2. Contact our support team at this Session ID:

g58675t7ug57u43dyethdb53dhg7u6t7juf3542s**********

3. Send  your DECRYPTION ID mentioned at the top of this file.

CONTACT DEADLINE : 48 HOURES 

After the 48 hour deadline your ONE-TIME decryption keys WILL BE AUTOMATICALLY DISTROYED 

DO NOT attempt to rename, move, or tamper with encrypted files.

Any such actions may result in irreversible data loss.

->  DO NOT TRY TO DECRYPT THE FILES USING FREE OR COMMERCIAL TOOLS

->  THESE TOOLS WILL ALTER THE FILE STRUCTURE AND IT WON'T BE RECOVERABLE

->  OUR ENCRYPTION TECHNIQUES ARE SECURE, DONT BOTHER TRYING :D

->  WE WILL NOT GUARANTEE DATA RECOVERY IF THE FILES ARE MODIFIED IN ANY WAY 

DECRYPTION PROOF 

. We provide a sample decryption to prove that your files are recoverable

. Send one of your files ( size < 100 MB ) that doesn't contain any important info

. We will send you a decrypted sample immediately

. We will guarantee one-time decryption and you won't be targeted by us ever again

- The Desolated Collective

Другим информатором жертвы является изображение, заменяющее обои Рабочего стола, которое предлагает прочитать файл RecoverYourFiles.txt. 

✋ Внимание! Новые элементы идентификации: расширения, email, записки о выкупе можно найти в конце статьи, в обновлениях. Они могут отличаться от первого варианта. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

✋ Внимание! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RecoverYourFiles.txt - название файла с требованием выкупа;
desolator.exe - название вредоносного файла;

desolated.ico -  иконка, используемая вредоносом. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL (недействителен): hxxxs://ghe678ihyi8khy8kh5rt87ku8tg34sh5tecvjbkramlkgmjhlkergh8423yumtghw8543mulyb5m.onion

Email: -
BTC: -

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: f16b85de0d4cc0807dfecd16069e742b 

SHA-1: 633262762080e7cb7acbc5810a5c83edb7911b7e 

SHA-256: 5e88f40a24f42507f85ce180214db231354e8603fb0133f7d612184a5b41b227 

Vhash: 026066655d1555155088z821z33z17z2011z1fz 

Imphash: 0339561cc7d761e0d6f699657a0caa91

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не было или не добавлены.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 ***

 Thanks: 
 fbgwls245, petik
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples


 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.