want_to_cry wannacry

[thefeanor4ik]

Программа-вымогатель WantToCry 2026-09

Шифрование: первые 4096 байт каждого файла, 16-байтовые блоки, AES-ECB
(детерминированное: идентичные блоки открытого текста в разных файлах дают
идентичный шифротекст; нет IV, нет отдельного ключа для каждого файла).

Расширение: .want_to_cry; образец записки: ransom_note.txt.

Известная пара «открытый текст — шифротекст» (компактно): known_pair_ORIGINAL.exe +
known_pair_ENCRYPTED.bin (один и тот же файл до/после; байты 4096+ идентичны,
первые 4096 байт зашифрованы AES-ECB).

Также доступно по запросу: первые 4096 байт всех 28293 зашифрованных файлов.

IP-адреса атакующих из серверных логов: 47.84.111.160, 47.254.179.129 (Alibaba),
152.32.156.95, 152.32.202.56, 172.166.156.160 (Azure), 82.114.228.224.

Контакт в записке с требованием выкупа: qTox; ID потерпевшего CE953F5FBA5B4CFF9FDEF56F42AE967D
Сервер работает под управлением Debian 13
Шифрование выполнялось удаленно через уязвимость smb

wannacry.zip

[safety]

Смогли определить на каком из хостов был запуск шифровальщика? Был ли найден сэмпл шифровальщика?

Изменено 22 сентября пользователем safety

[thefeanor4ik]

вот с этого 82.114.228.224, злоумышленник подключил себе мою smb шару и шифровал у себя.
т.е запуск производился удаленно и нацеленно.
сэмпла к сожалению нет...