cerber

Sharing

Copy URL

Twitter E-mail

General

Target

969ae8149b173542071f2b4f29529d48_JaffaCakes118
Size

258KB
Sample

240604-3dkjmseh7w
MD5

969ae8149b173542071f2b4f29529d48
SHA1

2485f06859417f76ee6d71039249e541b9508e12
SHA256

5bd5fa25f5b9d6e65246e1a2e8386f78683fc4726ed3c0a4a1afef63aaf40091
SHA512

a4533c6a0c7497eed5cd3fc7abe3c3e59724cfd34c301ad4aacc6f077849dc500ee84dd946ef3a80c2dbc9dbb418097f288960ccd2dda9e39b0c474f71182fc6
SSDEEP

6144:2UjRwjVv+fUqcvIBriGPuoi1kVMI5zpp/RvbmT:2qKVvKUqYIBrpuoiWZzXZvyT

Score

10^/10

Malware Config

Extracted

Path

C:\MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\_README_2C3I_.hta

Ransom Note

<!DOCTYPE html> <html lang="en"> <head> <meta charset="utf-8"> <title>CERBER RANSOMWARE: Instructions</title> <HTA:APPLICATION APPLICATIONNAME="CERBER RANSOMWARE: Instructions" SCROLL="yes" SINGLEINSTANCE="yes" WINDOWSTATE="maximize"> <style> a { color: #04a; text-decoration: none; } a:hover { text-decoration: underline; } body { background-color: #e7e7e7; color: #222; font-family: "Lucida Sans Unicode", "Lucida Grande", sans-serif; font-size: 13pt; line-height: 19pt; } body, h1 { margin: 0; padding: 0; } hr { color: #bda; height: 2pt; margin: 1.5%; } h1 { color: #555; font-size: 14pt; } ol { padding-left: 2.5%; } ol li { padding-bottom: 13pt; } small { color: #555; font-size: 11pt; } ul { list-style-type: none; margin: 0; padding: 0; } .button { color: #04a; cursor: pointer; } .button:hover { text-decoration: underline; } .container { background-color: #fff; border: 2pt solid #c7c7c7; margin: 2.5%; min-width: 850px; padding: 2.5%; } .header { border-bottom: 2pt solid #c7c7c7; margin-bottom: 2.5%; padding-bottom: 2.5%; } .hr { background: #bda; display: block; height: 2pt; margin-top: 1.5%; margin-bottom: 1.5%; overflow: hidden; width: 100%; } .info { background-color: #efe; border: 2pt solid #bda; display: inline-block; padding: 1.5%; text-align: center; } .updating { color: red; display: none; } #change_language { float: right; } #change_language, #texts div { display: none; } </style> </head> <body> <div class="container"> <div class="header"> <a href="#" id="change_language" onclick="return changeLanguage();" title="English">☑ English</a> <h1>CERBER RANSOMWARE</h1> Instructions </div> <div id="languages"> ☑ Select your language <ul> <li><a href="#" title="English" onclick="return showBlock('en');">English</a></li> <li><a href="#" title="Arabic" onclick="return showBlock('ar');">العربية</a></li> <li><a href="#" title="Chinese" onclick="return showBlock('zh');">中文</a></li> <li><a href="#" title="Dutch" onclick="return showBlock('nl');">Nederlands</a></li> <li><a href="#" title="French" onclick="return showBlock('fr');">Français</a></li> <li><a href="#" title="German" onclick="return showBlock('de');">Deutsch</a></li> <li><a href="#" title="Italian" onclick="return showBlock('it');">Italiano</a></li> <li><a href="#" title="Japanese" onclick="return showBlock('ja');">日本語</a></li> <li><a href="#" title="Korean" onclick="return showBlock('ko');">한국어</a></li> <li><a href="#" title="Polish" onclick="return showBlock('pl');">Polski</a></li> <li><a href="#" title="Portuguese" onclick="return showBlock('pt');">Português</a></li> <li><a href="#" title="Spanish" onclick="return showBlock('es');">Español</a></li> <li><a href="#" title="Turkish" onclick="return showBlock('tr');">Türkçe</a></li> </ul> </div> <div id="texts"> <div id="en"> Can't you find the necessary files? Is the content of your files not readable? It is normal because the files' names and the data in your files have been encrypted by "Cerber Ransomware". It means your files are NOT damaged! Your files are modified only. This modification is reversible. From now it is not possible to use your files until they will be decrypted. The only way to decrypt your files safely is to buy the special decryption software "Cerber Decryptor". Any attempts to restore your files with the third-party software will be fatal for your files! <hr> You can proceed with purchasing of the decryption software at your personal page: Please wait...<a id="megaurl" class="url" href="http://ffoqr3ug7m726zou.cevpsj.top/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.cevpsj.top/E159-74E7-29B8-0073-169B</a><a href="http://ffoqr3ug7m726zou.umvv28.top/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.umvv28.top/E159-74E7-29B8-0073-169B</a><a href="http://ffoqr3ug7m726zou.onion.to/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.onion.to/E159-74E7-29B8-0073-169B</a> If this page cannot be opened  click here  to generate a new address to your personal page. At this page you will receive the complete instructions how to buy the decryption software for restoring all your files. Also at this page you will be able to restore any one file for free to be sure "Cerber Decryptor" will help you. <hr> If your personal page is not available for a long period there is another way to open your personal page - installation and use of Tor Browser: <ol> <li>run your Internet browser (if you do not know what it is run the Internet Explorer);</li> <li>enter or copy the address <a href="https://www.torproject.org/download/download-easy.html.en" target="_blank">https://www.torproject.org/download/download-easy.html.en</a> into the address bar of your browser and press ENTER;</li> <li>wait for the site loading;</li> <li>on the site you will be offered to download Tor Browser; download and run it, follow the installation instructions, wait until the installation is completed;</li> <li>run Tor Browser;</li> <li>connect with the button "Connect" (if you use the English version);</li> <li>a normal Internet browser window will be opened after the initialization;</li> <li>type or copy the address http://ffoqr3ug7m726zou.onion/E159-74E7-29B8-0073-169B in this browser address bar;</li> <li>press ENTER;</li> <li>the site should be loaded; if for some reason the site is not loading wait for a moment and try again.</li> </ol> If you have any problems during installation or use of Tor Browser, please, visit <a href="https://www.youtube.com/results?search_query=Install+Tor+Browser+Windows" target="_blank">https://www.youtube.com</a> and type request in the search bar "Install Tor Browser Windows" and you will find a lot of training videos about Tor Browser installation and use. <hr> Additional information: You will find the instructions ("*.hta") for restoring your files in any folder with your encrypted files. The instructions ("*.hta") in the folders with your encrypted files are not viruses! The instructions ("*.hta") will help you to decrypt your files. Remember! The worst situation already happened and now the future of your files depends on your determination and speed of your actions. </div> <div id="ar" style="direction: rtl;"> لا يمكنك العثور على الملفات الضرورية؟ هل محتوى الملفات غير قابل للقراءة؟ هذا أمر طبيعي لأن أسماء الملفات والبيانات في الملفات قد تم تشفيرها بواسطة "Cerber Ransomware". وهذا يعني أن الملفات الخاصة بك ليست تالفة! فقد تم تعديل ملفاتك فقط. ويمكن التراجع عن هذا. ومن الآن فإنه لا يكن استخدام الملفات الخاصة بك حتى يتم فك تشفيرها. الطريقة الوحيدة لفك تشفير ملفاتك بأمان هو أن تشتري برنامج فك التشفير المتخصص "Cerber Decryptor". إن أية محاولات لاستعادة الملفات الخاصة بك بواسطة برامج من طرف ثالث سوف تكون مدمرة لملفاتك! <hr> يمكنك الشروع في شراء برنامج فك التشفير من صفحتك الشخصية: أرجو الإنتظار...<a class="url" href="http://ffoqr3ug7m726zou.cevpsj.top/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.cevpsj.top/E159-74E7-29B8-0073-169B</a><a href="http://ffoqr3ug7m726zou.umvv28.top/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.umvv28.top/E159-74E7-29B8-0073-169B</a><a href="http://ffoqr3ug7m726zou.onion.to/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.onion.to/E159-74E7-29B8-0073-169B</a> في حالة تعذر فتح هذه الصفحة  انقر هنا  لإنشاء عنوان جديد لصفحتك الشخصية. في هذه الصفحة سوف تتلقى تعليمات كاملة حول كيفية شراء برنامج فك التشفير لاستعادة جميع الملفات الخاصة بك. في هذه الصفحة أيضًا سوف تتمكن من استعادة ملف واحد بشكل مجاني للتأكد من أن "Cerber Decryptor" سوف يساعدك. <hr> إذا كانت صفحتك الشخصية غير متاحة لفترة طويلة فإن ثمّة طريقة أخرى لفتح صفحتك الشخصية - تحميل واستخدام متصفح Tor: <ol> <li>قم بتشغيل متصفح الإنترنت الخاص بك (إذا كنت لا تعرف ما هو قم بتشغيل إنترنت إكسبلورر);</li> <li>قم بكتابة أو نسخ العنوان <a href="https://www.torproject.org/download/download-easy.html.en" target="_blank">https://www.torproject.org/download/download-easy.html.en</a> إلى شريط العنوان في المستعرض الخاص بك ثم اضغط ENTER;</li> <li>انتظر لتحميل الموقع;</li> <li>سوف يعرض عليك الموقع تحميل متصفح Tor. قم بتحميله وتشغيله، واتبع تعليمات التثبيت، وانتظر حتى اكتمال التثبيت;</li> <li>قم بتشغيل متصفح Tor;</li> <li>اضغط على الزر "Connect" (إذا كنت تستخدم النسخة الإنجليزية);</li> <li>سوف تُفتح نافذة متصفح الإنترنت العادي بعد البدء;</li> <li>قم بكتابة أو نسخ العنوان http://ffoqr3ug7m726zou.onion/E159-74E7-29B8-0073-169B في شريط العنوان في المتصفح;</li> <li>اضغط ENTER;</li> <li>يجب أن يتم تحميل الموقع؛ إذا لم يتم تحميل الموقع لأي سبب، انتظر للحظة وحاول مرة أخرى.</li> </ol> إذا كان لديك أية مشكلات أثناء عملية التثبيت أو استخدام متصفح Tor، يُرجى زيارة <a href="https://www.youtube.com/results?search_query=Install+Tor+Browser+Windows" target="_blank">https://www.youtube.com</a> واكتب الطلب "install tor browser windows" أو "تثبيت نوافذ متصفح Tor" في شريط البحث، وسوف تجد الكثير من أشرطة الفيديو للتدريب حول تثبيت متصفح Tor واستخدامه. <hr> معلومات إضافية: سوف تجد إرشادات استعادة الملفات الخاصة بك ("*.hta") في أي مجلد مع ملفاتك المشفرة. الإرشادات ("*.hta") الموجودة في المجلدات مع ملفاتك المشفرة ليست فيروسات والإرشادات ("*.hta") سوف تساعدك على فك تشفير الملفات الخاصة بك. تذكر أن أسوأ موقف قد حدث بالفعل، والآن مستقبل ملفاتك يعتمد على عزيمتك وسرعة الإجراءات الخاصة بك. </div> <div id="zh"> 您找不到所需的文件？ 您文件的内容无法阅读？ 这是正常的，因为您文件的文件名和数据已经被“Cerber Ransomware”加密了。 这意味着您的文件并没有损坏！您的文件只是被修改了，这个修改是可逆的，解密之前您无法使用您的文件。 安全解密您文件的唯一方式是购买特别的解密软件“Cerber Decryptor”。 任何使用第三方软件恢复您文件的方式对您的文件来说都将是致命的！ <hr> 您可以在您的个人页面上购买解密软件： 请稍候...<a class="url" href="http://ffoqr3ug7m726zou.cevpsj.top/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.cevpsj.top/E159-74E7-29B8-0073-169B</a><a href="http://ffoqr3ug7m726zou.umvv28.top/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.umvv28.top/E159-74E7-29B8-0073-169B</a><a href="http://ffoqr3ug7m726zou.onion.to/E159-74E7-29B8-0073-169B" target="_blank">http://ffoqr3ug7m726zou.onion.to/E159-74E7-29B8-0073-169B</a> 如果这个页面无法打开，请 点击这里 生成您个人页面的新地址。 您将在这个页面上看到如何购买解密软件以恢复您的文件。 您可以在这个页面使用“Cerber Decryptor”免费恢复任何文件。 <hr> 如果您的个人页面长期不可用，有其他方法可以打开您的个人页面 - 安装并使用 Tor 浏览器： <ol> <li>使用您的上网浏览器（如果您不知道使用 Internet Explorer 的话）；</li> <li>在浏览器的地址栏输入或复制地址 <a href="https://www.torproject.org/download/download-easy.html.en" target="_blank">https://www.torproject.org/download/download-easy.html.en</a> 并按 ENTER 键；</li> <li>等待站点加载；</li> <li>您将在站点上下载 Tor 浏览器；下载并运行它，按照安装指南进行操作，等待直至安装完成；</li> <li>运行 Tor 浏览器；</li> <li>使用“Connect”按钮进行连接（如果您使用英文版）；</li> <li>初始化之后将打开正常的上网浏览器窗口；</li> <li>在浏览器地址栏中输入或复制地址 http://ffoqr3ug7m726zou.onion/E159-74E7-29B8-0073-169B </li> <li>按 ENTER 键；</li> <li>该站点将加载；如果由于某些原因等待一会儿后没有加载，请重试。</li> </ol> 如果在安装期间或使用 Tor 浏览器期间有任何问题，请访问 <a href="https://www.baidu.com/s?wd=%E6%80%8E%E4%B9%88%E5%AE%89%E8%A3%85%20tor%20%E6%B5%8F%E8%A7%88%E5%99%A8" target="_blank">https://www.baidu.com</a> 并在搜索栏中输入“怎么安装 Tor 浏览器”，您将找到有关如何安装洋葱 Tor 浏览器的说明和教程。 <hr> 附加信息： 您将在任何带有加密文件的文件夹中找到恢复您文件(“*.hta”)的说明。 带有加密文件的文件夹中的(“*.hta”)说明不是病毒，(“*.hta”)说明将帮助您解密您的文件。 请记住，最坏的情况都发生过了，您的文件还能不能用取决于您的决定和反应速度。 </div> <div id="nl"> Kunt u de nodige files niet vinden? Is de inhoud van uw bestanden niet leesbaar? Het is gewoonlijk omdat de bestandsnamen en de gegevens in uw bestanden zijn versleuteld door “Cerber Ransomware”. Het betekent dat uw bestanden NIET beschadigd zijn! Uw bestanden zijn alleen gewijzigd. Deze wijziging is omkeerbaar. Vanaf nu is het niet mogelijk uw bestanden te gebruiken totdat ze ontsleuteld zijn. De enige manier om uw bestanden veilig te

Targets

- Target
  
  969ae8149b173542071f2b4f29529d48_JaffaCakes118
- Size
  
  258KB
- MD5
  
  969ae8149b173542071f2b4f29529d48
- SHA1
  
  2485f06859417f76ee6d71039249e541b9508e12
- SHA256
  
  5bd5fa25f5b9d6e65246e1a2e8386f78683fc4726ed3c0a4a1afef63aaf40091
- SHA512
  
  a4533c6a0c7497eed5cd3fc7abe3c3e59724cfd34c301ad4aacc6f077849dc500ee84dd946ef3a80c2dbc9dbb418097f288960ccd2dda9e39b0c474f71182fc6
- SSDEEP
  
  6144:2UjRwjVv+fUqcvIBriGPuoi1kVMI5zpp/RvbmT:2qKVvKUqYIBrpuoiWZzXZvyT
Score

10^/10

cerber discovery ransomware spyware stealer
- Cerber
  Cerber is a widely used ransomware-as-a-service (RaaS), first seen in 2017.
  ransomware cerber
- Blocklisted process makes network request
- Contacts a large (581) amount of remote hosts
  This may indicate a network scan to discover remotely running services.
  discovery
- Deletes itself
- Loads dropped DLL
- Reads user/profile data of web browsers
  Infostealers often target stored browser data, which can include saved credentials etc.
  spyware stealer
- Sets desktop wallpaper using registry
  ransomware
- Suspicious use of SetThreadContext
behavioral1 behavioral2
- Target
  
  $PLUGINSDIR/StartMenu.dll
- Size
  
  7KB
- MD5
  
  fb062fbb33102c79fdfc815d634ea776
- SHA1
  
  1f3d9ce02328297cda1aa1b1093efb5d5aa47ff4
- SHA256
  
  77b6d60b2a3f5113a79bd28fbc6d662f37bc0481210194beda90461291ddb704
- SHA512
  
  a5a3a0702be8b0d2037ea320cd1d231e6f2f5012178578ba40e06d16313fc32c431a5560efc8919f81ba4631d02e64a2b1faaeb6da374dd1b6ace8c344dc550d
- SSDEEP
  
  96:H8dPIKJhMuhik+CfoEwknt6io8zv+qy5/utta/23lkCTcaqHCI:cZIKXgk+cx6QYFkAylncviI
Score

3^/10
behavioral3 behavioral4
- Target
  
  $PLUGINSDIR/System.dll
- Size
  
  11KB
- MD5
  
  0ff2d70cfdc8095ea99ca2dabbec3cd7
- SHA1
  
  10c51496d37cecd0e8a503a5a9bb2329d9b38116
- SHA256
  
  982c5fb7ada7d8c9bc3e419d1c35da6f05bc5dd845940c179af3a33d00a36a8b
- SHA512
  
  cb5fc0b3194f469b833c2c9abf493fcec5251e8609881b7f5e095b9bd09ed468168e95dda0ba415a7d8d6b7f0dee735467c0ed8e52b223eb5359986891ba6e2e
- SSDEEP
  
  192:eK24sihno00Wfl97nH6T2enXwWobpWBTU4VtHT7dmN35OlASl:u8QIl975eXqlWBrz7YLOlA
Score

3^/10
behavioral5 behavioral6
- Target
  
  $PLUGINSDIR/nsDialogs.dll
- Size
  
  9KB
- MD5
  
  d6c3dd680c6467d07d730255d0ee5d87
- SHA1
  
  57e7a1d142032652256291b8ed2703b3dc1dfa9b
- SHA256
  
  aedb5122c12037bcf5c79c2197d1474e759cf47c67c37cdb21cf27428854a55b
- SHA512
  
  c28613d6d91c1f1f7951116f114da1c49e5f4994c855e522930bb4a8bdd73f12cadf1c6dcb84fc8d9f983ec60a40ac39522d3f86695e17ec88da4bd91c7b6a51
- SSDEEP
  
  192:oWa8cSzvTyl4tgi8pPjQM0PuAg0YNyZIFtSP:DaBSzm+t18pZ0WAg0RZIFg
Score

3^/10
behavioral7 behavioral8
- Target
  
  Uninstall.exe
- Size
  
  56KB
- MD5
  
  f363edc3968bea031ebb756d9796c7e2
- SHA1
  
  e973f6ec5111cd2068ed5d61d48b1bbec2e746bb
- SHA256
  
  3adcf5a36fe03cc47aebd8942b6e7772fa7d0dc42523f33c2064fd36db1bf03f
- SHA512
  
  8ebbece380549305d829ef775a0cdeb7d91d9040c4ce6e6c747beaf9a7da5f1fd3b035eeb220ff6d6bb3bac9dcb6ea35b83d5c27696335122bc1f253c0c1bc1e
- SSDEEP
  
  1536:2YHhhDWkSkWI0q4wjiKuDpgdLeAyNxMCI0W:2KWAjRhjiKuDpceA4W
Score

7^/10
- Executes dropped EXE
- Loads dropped DLL
behavioral10 behavioral9
- Target
  
  activityi;src=4173226;type=slika011;cat=silka929;ord=1
- Size
  
  1KB
- MD5
  
  da349175f56f71b3806fe7e8ce1d5bcc
- SHA1
  
  02e0259d79eec05d8d79a2b729d133efaa70854d
- SHA256
  
  99c8c2febaf63ad3d49ec90e2d75a9d72086565d1e8e77e989c69b5032cf4b8a
- SHA512
  
  e2e97f685bf0f703096fd167b5362b3e4687eeff55f51c35d2fd373eb78da3122a0b7a62ba15e36de259922ed1a113d33a46266b9b74fa998ca087d8879bc242
Score

1^/10
behavioral11 behavioral12
- Target
  
  headlines.js
- Size
  
  733B
- MD5
  
  b7790772d020509a32cf89669b5b6b35
- SHA1
  
  f76277d5f217e2f3239ea2482d09c68ae880647d
- SHA256
  
  c8567f968d439b910d52aa05c4187f47d30d180519a0ac561bb988cde94c2c22
- SHA512
  
  be57429968f3f20a76eb9a7e42fa3fc91b8554b199f89742cfcb54c0b89043889f59de1356230fd8b965e5ed2c88b1d4102d287872de8c40c1767b8ce2fa4a0b
Score

3^/10

execution
behavioral13 behavioral14
- Target
  
  t0LzNt8K
- Size
  
  251B
- MD5
  
  4a1f622594cc126abe6b2a0b97f23982
- SHA1
  
  ee92f7be6041bf9879e67442d21b7d1ea77ca17d
- SHA256
  
  21f93767d479e5d9c13752cb23f7546f35a0ebf68cd57ce7f459f493b0ee0736
- SHA512
  
  fa2adeb478fb0b31d381d78894ccccc9ada26214c60c253d76849f21f85c971a9e001f56eacd4e3dac5d291367f0332427b39413264af1d5d5466f9fc1312011
Score

1^/10
behavioral15 behavioral16

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Command and Scripting Interpreter

T1059

JavaScript

T1059.007

Persistence

Privilege Escalation

Defense Evasion

Modify Registry

T1112

Credential Access

Unsecured Credentials

T1552

Credentials In Files

T1552.001

Discovery

Network Service Discovery

T1046

Query Registry

T1012

Remote System Discovery

T1018

System Information Discovery

T1082

Lateral Movement

Collection

Data from Local System

T1005

Command and Control

Exfiltration

Impact

Defacement

T1491

Tasks

Sharing

General

Malware Config

Extracted

Targets

Blocklisted process makes network request

Contacts a large (581) amount of remote hosts

Deletes itself

Loads dropped DLL

Reads user/profile data of web browsers

Sets desktop wallpaper using registry

Suspicious use of SetThreadContext

Executes dropped EXE

Loads dropped DLL

MITRE ATT&CK Enterprise v15

Tasks

static1

behavioral1

behavioral2

behavioral3

behavioral4

behavioral5

behavioral6

behavioral7

behavioral8

behavioral9

behavioral10

behavioral11

behavioral12

behavioral13

behavioral14

behavioral15

behavioral16