Trojan Ransom

[EP_X0FF]

Pornoroliks

hxxp://pornositerufree.ru/11/video/porno-rolik11.avi.exe
hxxp://pornositerufree.ru/12/video/porno-rolik12.avi.exe
hxxp://pornositerufree.ru/13/video/porno-rolik13.avi.exe
hxxp://pornositerufree.ru/16/video/porno-rolik16.avi.exe
hxxp://pornositerufree.ru/17/video/porno-rolik17.avi.exe
hxxp://pornositerufree.ru/18/video/porno-rolik18.avi.exe
hxxp://pornositerufree.ru/20/video/porno-rolik20.avi.exe

Redirector to pornoroliks

hxxp://sko-vna.ru/dfdasae.cgi?11

LockEmAll ransom

hxxp://mirijikaporno.ru/300/xxx_video.exe

Redirector to lockemall

hxxp://lopojadinja.ru/in.cgi?2

[EP_X0FF]

Pornoroliks

hxxp://shkollnitsiebutsya.ru/11/video/porno-rolik11.avi.exe
hxxp://shkollnitsiebutsya.ru/12/video/porno-rolik12.avi.exe
hxxp://shkollnitsiebutsya.ru/13/video/porno-rolik13.avi.exe
hxxp://shkollnitsiebutsya.ru/14/video/porno-rolik14.avi.exe
hxxp://shkollnitsiebutsya.ru/16/video/porno-rolik16.avi.exe
hxxp://shkollnitsiebutsya.ru/17/video/porno-rolik17.avi.exe
hxxp://shkollnitsiebutsya.ru/18/video/porno-rolik18.avi.exe
hxxp://shkollnitsiebutsya.ru/20/video/porno-rolik20.avi.exe

Redirector for pornoroliks

hxxp://zirn-ba.ru/sdgerwgerh.cgi?11

[EP_X0FF]

Pornoroliks + redirector

hxxp://mamkidayutvpopku.ru/11/video/porno-rolik11.avi.exe
hxxp://mamkidayutvpopku.ru/12/video/porno-rolik12.avi.exe
hxxp://mamkidayutvpopku.ru/13/video/porno-rolik13.avi.exe
hxxp://mamkidayutvpopku.ru/14/video/porno-rolik14.avi.exe
hxxp://mamkidayutvpopku.ru/16/video/porno-rolik16.avi.exe
hxxp://mamkidayutvpopku.ru/17/video/porno-rolik17.avi.exe
hxxp://mamkidayutvpopku.ru/18/video/porno-rolik18.avi.exe
hxxp://mamkidayutvpopku.ru/20/video/porno-rolik20.avi.exe
hxxp://alop-sa.ru/fdsbthtrtj.cgi?12

[EP_X0FF]

LockEmAll ransom

hxxp://dqn6drj.ru/22/xxx_video.exe

Blackhole exploit kit

hxxp://demwful.ru/indexx.php?tp=1f2965b33ed2cc11

Redirector to LockEmAll ransom

hxxp://bliadipoo.ru/in.cgi?2

Pornoroliks

hxxp://veronikapornosex.ru/11/video/porno-rolik11.avi.exe
hxxp://veronikapornosex.ru/12/video/porno-rolik12.avi.exe
hxxp://veronikapornosex.ru/13/video/porno-rolik13.avi.exe
hxxp://veronikapornosex.ru/14/video/porno-rolik14.avi.exe
hxxp://veronikapornosex.ru/16/video/porno-rolik16.avi.exe
hxxp://veronikapornosex.ru/17/video/porno-rolik17.avi.exe
hxxp://veronikapornosex.ru/18/video/porno-rolik18.avi.exe
hxxp://veronikapornosex.ru/20/video/porno-rolik20.avi.exe

Redirector to pornorolik

hxxp://giri-ji.ru/fdbrehe.cgi?11

[EP_X0FF]

Pornoroliks, only updated binaries listed, all others (13, 16, 18, 20) not updated for a long time.

hxxp://pornovirtualxxx.ru/11/video/porno-rolik11.avi.exe
hxxp://pornovirtualxxx.ru/12/video/porno-rolik12.avi.exe
hxxp://pornovirtualxxx.ru/14/video/porno-rolik14.avi.exe
hxxp://pornovirtualxxx.ru/17/video/porno-rolik17.avi.exe

Redirector for pornoroliks

hxxp://arudir-z.ru/vbnmgfhm.cgi?11
hxxp://arudir-z.ru/vbnmgfhm.cgi?12
hxxp://arudir-z.ru/vbnmgfhm.cgi?14
hxxp://arudir-z.ru/vbnmgfhm.cgi?17

LockEmAll ransom

hxxp://hiokporno.ru/porn_video.exe
hxxp://wwvejwd.ru/12/xxx_video.exe

Redirector to LockEmAll ransom

hxxp://eriosporkas.ru/in.cgi?2

[EP_X0FF]

Pornoroliks (they seems started scheduler for auto re-crypt each few hours).

hxxp://ilikerusporevo.ru/11/video/porno-rolik11.avi.exe
hxxp://ilikerusporevo.ru/12/video/porno-rolik12.avi.exe
hxxp://ilikerusporevo.ru/14/video/porno-rolik14.avi.exe
hxxp://ilikerusporevo.ru/17/video/porno-rolik17.avi.exe

Redirectors to pornoroliks

hxxp://britol-x.ru/rehehdfbere.cgi?11
hxxp://britol-x.ru/rehehdfbere.cgi?12
hxxp://britol-x.ru/rehehdfbere.cgi?14
hxxp://britol-x.ru/rehehdfbere.cgi?17

LockEmAll ransom

hxxp://xp58iod.ru/77/xxx_video.exe

Redirector path

hxxp://bybybgydas.ru/ -> hxxp://bybybgydas.ru/video.htm ->
hxxp://nunutufaka.ru/in.cgi?2
hxxp://nunutufaka.ru/in.cgi?3

[EP_X0FF]

Pornoroliks (directs links because domain names heavily mutates each hour-two)

hxxp://195.226.220.142/11/video/porno-rolik11.avi.exe
hxxp://195.226.220.142/12/video/porno-rolik12.avi.exe
hxxp://195.226.220.142/13/video/porno-rolik13.avi.exe
hxxp://195.226.220.142/14/video/porno-rolik14.avi.exe
hxxp://195.226.220.142/16/video/porno-rolik16.avi.exe
hxxp://195.226.220.142/17/video/porno-rolik17.avi.exe
hxxp://195.226.220.142/18/video/porno-rolik18.avi.exe
hxxp://195.226.220.142/20/video/porno-rolik20.avi.exe

[EP_X0FF]

Ransom "System Antivirus Microsoft 2011"

hxxp://virobala.in/porn_video.exe

Another creature distributed by LockEmAll gang

[EP_X0FF]

Ransom LockEmAll

hxxp://mirkapopas.ru/ -> hxxp://mirkapopas.ru/video.htm -> hxxp://milinixas.ru/in.cgi?2 -> hxxp://dwzporn4.ru/ -> hxxp://dwzporn4.ru/11/xxx_video.exe

hxxp://xpl0ics.ru/d.php?f=338&e=2

[EP_X0FF]

Ransom

hxxp://togetgirl.net/porn_video.exe

hxxp://togetgirl.net/ contains embedded link to Blackhole

hxxp://officara.in/index.php?tp=792a34dfd2fe3709

(here http://pastebin.com/bKZD2n29 deobfuscated)

Ransom

hxxp://officara.in/d.php?f=251&e=2

Exploits

hxxp://officara.in/games/pch.php?f=251
hxxp://officara.in/games/2fdp.php?f=251
hxxp://officara.in/games/worms.jar
hxxp://officara.in/games/java_trust.php?f=251

[EP_X0FF]

Pornorolik moved because of server shutdown.

New location

hxxp://91.228.160.52/20/video/porno-rolik20.avi.exe
hxxp://91.228.160.52/18/video/porno-rolik18.avi.exe
hxxp://91.228.160.52/17/video/porno-rolik17.avi.exe
hxxp://91.228.160.52/16/video/porno-rolik16.avi.exe
hxxp://91.228.160.52/14/video/porno-rolik14.avi.exe
hxxp://91.228.160.52/13/video/porno-rolik13.avi.exe
hxxp://91.228.160.52/12/video/porno-rolik12.avi.exe
hxxp://91.228.160.52/11/video/porno-rolik11.avi.exe

Redirector

hxxp://bon-mak-r.ru/trhtrhtrd.cgi?12

[EP_X0FF]

Hoster webxhost (not sure if it's not malware support ) blocked access by IP due to abuse, but files are still available through domain names.
Samples constantly repacking (one time per 15-20 minutes).

hxxp://insertpenisgirls.ru/11/video/porno-rolik11.avi.exe
hxxp://insertpenisgirls.ru/12/video/porno-rolik12.avi.exe
hxxp://insertpenisgirls.ru/13/video/porno-rolik13.avi.exe
hxxp://insertpenisgirls.ru/14/video/porno-rolik14.avi.exe
hxxp://insertpenisgirls.ru/16/video/porno-rolik16.avi.exe
hxxp://insertpenisgirls.ru/17/video/porno-rolik17.avi.exe
hxxp://insertpenisgirls.ru/18/video/porno-rolik18.avi.exe
hxxp://insertpenisgirls.ru/20/video/porno-rolik20.avi.exe

[EP_X0FF]

New pornoroliks (previous locations gives 404)

hxxp://formulasporno.ru/11/video/porno-rolik11.avi.exe
hxxp://formulasporno.ru/12/video/porno-rolik12.avi.exe
hxxp://formulasporno.ru/13/video/porno-rolik13.avi.exe
hxxp://formulasporno.ru/14/video/porno-rolik14.avi.exe
hxxp://formulasporno.ru/16/video/porno-rolik16.avi.exe
hxxp://formulasporno.ru/17/video/porno-rolik17.avi.exe
hxxp://formulasporno.ru/18/video/porno-rolik18.avi.exe
hxxp://formulasporno.ru/20/video/porno-rolik20.avi.exe

[EP_X0FF]

Moved to new host (95.57.120.140).

Pornorolik renamed to videos

hxxp://hottotalporevo.ru/s11l/video/videos11.avi.exe
hxxp://deskxxxporno.ru/s11l/video/videos11.avi.exe
hxxp://supportpornoru.ru/s11l/video/videos11.avi.exe
hxxp://totralgoodporno.ru/s12o/video/videos12.avi.exe
hxxp://deskxxxporno.ru/s12o/video/videos12.avi.exe
hxxp://supportpornoru.ru/s17v/video/videos17.avi.exe
hxxp://hottotalporevo.ru/s17v/video/videos17.avi.exe
hxxp://deskxxxporno.ru/s17v/video/videos17.avi.exe

Redirector

hxxp://1triret.ru/dehehdsv.cgi?11
hxxp://1triret.ru/dehehdsv.cgi?12
hxxp://1triret.ru/dehehdsv.cgi?17

[mc0blck]

Abuses have been sent to GOHost.kz and ADVANCEDHOSTERS