General

  • Target

    buran.exe

  • Size

    222KB

  • Sample

    210202-gyhneygrpj

  • MD5

    3058d76e5fb2f2d2f65e232e98536182

  • SHA1

    3e6e9abd6241526bf932885d118cbbe54e4e1cbe

  • SHA256

    5c1141aa7d0b9fba71822607f3b1b086e2cc4529e63221a9a6ede74fa366512f

  • SHA512

    b47bc559e183abe8d4be8e7b1f652f01bab0095bf37797d95a541d729dad82a8a1eb1a804bc7c009ab3d49b446498a2e6b487f680bb203df3e17c212f85dfd95

Malware Config

Extracted

Path

C:\!!! ALL YOUR FILES ARE ENCRYPTED !!!.TXT

Family

buran

Ransom Note
==== GERMAN ==== Alle Ihre Dateien, Dokumente, Fotos, Datenbanken und andere wichtige Dateien werden verschlusselt. Sie konnen es nicht selbst entschlusseln! Die einzige Methode Zum Wiederherstellen von Dateien muss ein eindeutiger privater Schlussel erworben werden. Nur wir konnen Ihnen diesen Schlussel geben und nur wir konnen Ihre Dateien wiederherstellen. Um sicher zu gehen, dass wir den Entschlusseler haben und er funktioniert, konnen Sie einen senden Senden Sie eine E-Mail an Wiederherstellung@cock.li oder Wiederherstellungsdatei@airmail.cc und entschlusseln Sie eine Datei kostenlos. Aber diese Datei sollte nicht wertvoll sein! Mochten Sie Ihre Dateien wirklich wiederherstellen? Schreiben Sie eine E-Mail an Wiederherstellung@cock.li Wiederherstellungsdatei@airmail.cc (reservieren) Ihre personliche ID: <! - ID -> Beachtung! * Benennen Sie verschlusselte Dateien nicht um. * Versuchen Sie nicht, Ihre Daten mit Software von Drittanbietern zu entschlusseln. Dies kann zu dauerhaftem Datenverlust fuhren. * Entschlusselung Ihrer Dateien mit Hilfe von Dritten moglich verursachen Sie erhohten Preis (sie addieren ihre Gebuhr zu unserem) oder Sie konnen Opfer eines Betrugs werden. ==== ENGLISH ==== All your files, documents, photos, databases and other important files are encrypted. You are not able to decrypt it by yourself! The only method of recovering files is to purchase an unique private key. Only we can give you this key and only we can recover your files. To be sure we have the decryptor and it works you can send an email Wiederherstellung@cock.li or Wiederherstellungsdatei@airmail.cc and decrypt one file for free. But this file should be of not valuable! Do you really want to restore your files? Write to email Wiederherstellung@cock.li Wiederherstellungsdatei@airmail.cc (reserve) Your personal ID: 7B060CEB-438B-6E18-9137-B99EBE815887 Attention! * Do not rename encrypted files. * Do not try to decrypt your data using third party software, it may cause permanent data loss. * Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Emails

Wiederherstellung@cock.li

Wiederherstellungsdatei@airmail.cc

Extracted

Path

C:\!!! ALL YOUR FILES ARE ENCRYPTED !!!.TXT

Family

buran

Ransom Note
==== GERMAN ==== Alle Ihre Dateien, Dokumente, Fotos, Datenbanken und andere wichtige Dateien werden verschlusselt. Sie konnen es nicht selbst entschlusseln! Die einzige Methode Zum Wiederherstellen von Dateien muss ein eindeutiger privater Schlussel erworben werden. Nur wir konnen Ihnen diesen Schlussel geben und nur wir konnen Ihre Dateien wiederherstellen. Um sicher zu gehen, dass wir den Entschlusseler haben und er funktioniert, konnen Sie einen senden Senden Sie eine E-Mail an Wiederherstellung@cock.li oder Wiederherstellungsdatei@airmail.cc und entschlusseln Sie eine Datei kostenlos. Aber diese Datei sollte nicht wertvoll sein! Mochten Sie Ihre Dateien wirklich wiederherstellen? Schreiben Sie eine E-Mail an Wiederherstellung@cock.li Wiederherstellungsdatei@airmail.cc (reservieren) Ihre personliche ID: <! - ID -> Beachtung! * Benennen Sie verschlusselte Dateien nicht um. * Versuchen Sie nicht, Ihre Daten mit Software von Drittanbietern zu entschlusseln. Dies kann zu dauerhaftem Datenverlust fuhren. * Entschlusselung Ihrer Dateien mit Hilfe von Dritten moglich verursachen Sie erhohten Preis (sie addieren ihre Gebuhr zu unserem) oder Sie konnen Opfer eines Betrugs werden. ==== ENGLISH ==== All your files, documents, photos, databases and other important files are encrypted. You are not able to decrypt it by yourself! The only method of recovering files is to purchase an unique private key. Only we can give you this key and only we can recover your files. To be sure we have the decryptor and it works you can send an email Wiederherstellung@cock.li or Wiederherstellungsdatei@airmail.cc and decrypt one file for free. But this file should be of not valuable! Do you really want to restore your files? Write to email Wiederherstellung@cock.li Wiederherstellungsdatei@airmail.cc (reserve) Your personal ID: 17C729A0-DE24-D128-25CD-456E344875E9 Attention! * Do not rename encrypted files. * Do not try to decrypt your data using third party software, it may cause permanent data loss. * Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Emails

Wiederherstellung@cock.li

Wiederherstellungsdatei@airmail.cc

Targets

    • Target

      buran.exe

    • Size

      222KB

    • MD5

      3058d76e5fb2f2d2f65e232e98536182

    • SHA1

      3e6e9abd6241526bf932885d118cbbe54e4e1cbe

    • SHA256

      5c1141aa7d0b9fba71822607f3b1b086e2cc4529e63221a9a6ede74fa366512f

    • SHA512

      b47bc559e183abe8d4be8e7b1f652f01bab0095bf37797d95a541d729dad82a8a1eb1a804bc7c009ab3d49b446498a2e6b487f680bb203df3e17c212f85dfd95

    • Buran

      Ransomware-as-a-service based on the VegaLocker family first identified in 2019.

    • Clears Windows event logs

    • Deletes shadow copies

      Ransomware often targets backup files to inhibit system recovery.

    • Executes dropped EXE

    • Deletes itself

    • Loads dropped DLL

    • Adds Run key to start application

    • Enumerates connected drives

      Attempts to read the root path of hard drives other than the default C: drive.

    • Legitimate hosting services abused for malware hosting/C2

    • Looks up external IP address via web service

      Uses a legitimate IP lookup service to find the infected system's external IP.

    • Enumerates physical storage devices

      Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.

MITRE ATT&CK Matrix ATT&CK v6

Persistence

Registry Run Keys / Startup Folder

1
T1060

Hidden Files and Directories

1
T1158

Defense Evasion

Indicator Removal on Host

1
T1070

File Deletion

2
T1107

Modify Registry

2
T1112

Install Root Certificate

1
T1130

Hidden Files and Directories

1
T1158

Discovery

Query Registry

1
T1012

Peripheral Device Discovery

1
T1120

System Information Discovery

2
T1082

Remote System Discovery

1
T1018

Command and Control

Web Service

1
T1102

Impact

Inhibit System Recovery

2
T1490

Tasks