Ransomware Group intelligence
Werewolves
InactiveTrack Werewolves with 26 published victims and 2 known leak locations in a single intelligence view.
Overview
Werewolves is tracked by Breach House as a ransomware group with 26 published victims.
Russian Federation is currently the most targeted country in this dataset.
2 known leak locations are currently associated with this group.
Top Countries
Interactive distribution based on the currently visible victims list.
Known Leak Locations (2)
| Label | Type | Availability | Links |
|---|---|---|---|
| Leak location 1 | Web location | Up checked 1h ago | werewolves.pro |
| Leak location 2 | Web location | Up checked 1h ago | weerwolven.biz |
Top Activity Sectors (9)
Typical Attacks (10)
▼MITRE ATT&CK does not currently catalogue Werewolves, so this is our assessment of the techniques it uses, drawn from public reporting. The techniques themselves, and every "what that means" definition below, come from MITRE ATT&CK v19.2. Confidence: medium. Treat it as orientation, not attribution.
-
T1059.001 PowerShell Execution
What they do: werewolves uses PowerShell to execute malicious commands and deploy ransomware payloads across victim systems.
What that means: Adversaries may abuse PowerShell commands and scripts for execution.
-
What they do: werewolves modifies Registry Run Keys and startup folders to maintain persistence after reboots.
What that means: Adversaries may achieve persistence by adding a program to a startup folder or referencing it with a Registry run key.
-
T1685 Disable or Modify Tools Defense Impairment
What they do: werewolves disables security tools like antivirus and monitoring agents to evade detection during infection.
What that means: Adversaries may disable, degrade, or tamper with security tools or applications (e.g., endpoint detection and response (EDR) tools, intrusion detection systems (IDS), antivirus, logging agents, sensors, etc.) to impair or reduce visibility of defensive capabilities.
-
T1070.004 File Deletion Stealth
What they do: werewolves deletes Volume Shadow Copies and backup files via command-line tools to prevent recovery.
What that means: Adversaries may delete files left behind by the actions of their intrusion activity.
-
T1018 Remote System Discovery Discovery
What they do: werewolves performs remote system discovery to identify additional hosts for lateral movement within the network.
What that means: Adversaries may attempt to get a listing of other systems by IP address, hostname, or other logical identifier on a network that may be used for Lateral Movement from the current system.
-
T1135 Network Share Discovery Discovery
What they do: werewolves uses network share discovery to locate and encrypt files across mapped drives and remote directories.
What that means: Adversaries may look for folders and drives shared on remote systems as a means of identifying sources of information to gather as a precursor for Collection and to identify potential systems of interest for Lateral Movement.
-
T1021.002 SMB/Windows Admin Shares Lateral Movement
What they do: werewolves uses SMB/Windows Admin Shares for lateral movement to access other machines and deploy payloads.
What that means: Adversaries may use Valid Accounts to interact with a remote network share using Server Message Block (SMB).
-
T1041 Exfiltration Over C2 Channel Exfiltration
What they do: werewolves exfiltrates stolen data over C2 channels before encryption to enable double extortion.
What that means: Adversaries may steal data by exfiltrating it over an existing command and control channel.
-
T1486 Data Encrypted for Impact Impact
What they do: werewolves encrypts victim files using strong symmetric encryption to maximize impact and ransom demand.
What that means: Adversaries may encrypt data on target systems or on large numbers of systems in a network to interrupt availability to system and network resources.
-
T1490 Inhibit System Recovery Impact
What they do: werewolves inhibits system recovery by destroying restore points and disabling backup mechanisms.
What that means: Adversaries may delete or remove built-in data and turn off services designed to aid in the recovery of a corrupted system to prevent recovery.
Victims (26)
Search, filter and paginate the victim timeline for Werewolves. Showing 1–26 of 26.
| Type | Target | Discovered | Country | Business Category | Intel Link |
|---|---|---|---|---|---|
| Ransomware | vsexshop.ru id11204 View details | Russian Federation | Retail / E-commerce | ||
|
Компания VsexShop.Ru существует на рынке уже более 10 лет. За это время услугами нашего онлайн секс шопа воспользовались более 500 тысяч человек. Мы работаем для Вас: довольный клиент - это то, к чему мы стремимся! А у нас есть личные данные из базы очень не простых клиентов компании.70000$ |
|||||
| Ransomware | davidsbridal.com id10881 View details | United States | Other | ||
|
David's Bridal — известная американская сеть свадебных магазинов, известная своим широким ассортиментом свадебных платьев, платьев для подружек невесты и платьев для особых случаев. Основанная в 1950 году, компания выросла из единственного магазина во Флориде до обширной сети, насчитывающей более 300 магазинов в США, Канаде, Великобритании, а также франчайзинговых магазинов в Мексике.Выручка компании оценивается в $2,2 млрд.На текущий момент мы обладаем очень ценными и важными данными, охватывающими значительный объем личной и корпоративной информации.850000$. |
|||||
| Ransomware | solveindustrial.com id10724 View details | United States | Manufacturing / Engineering | ||
|
Клиенты из самых разных отраслей обращаются к Solve Industrial Motion Group™ за подшипниками и компонентами передачи мощности, которые выдерживают даже самые тяжелые условия. У компании более 25 000 наименований позиций, а также собственный инженерный отдел, который может не только разрабатывать, но и производить компоненты в точном соответствии со спецификациями. Компания помогает OEM-производителям и конечным пользователям по всему миру двигаться вперед. |
|||||
| Ransomware | forabank.ru id10277 View details | Russian Federation | Finance / Legal / Insurance | ||
|
АКБ «ФОРА-БАНК» (АО) зарегистрирован Банком России на рынке финансовых услуг 27 мая 1992 г. Входит в реестр системы обязательного страхования вкладов. Организация позиционируется как крупный универсальный финансовый институт. АКБ «ФОРА-БАНК» (АО) осуществляет расчетно-кассовое обслуживание и предоставляет широкий спектр услуг для физических и юридических лиц, проводит операции на валютном и фондовом рынках. АКБ «ФОРА-БАНК» (АО) является участником международных платежных систем VISA и MasterСard.Стоимость не публикации и удаления всей скомпрометрованной информации составляет 450000$. |
|||||
| Ransomware | vasexperts.ru id10276 View details | Russian Federation | Other | ||
|
Компания VAS Experts — разработчик программного обеспечения для контроля и анализа трафика. Компания присутствует на IT-рынке с 2013 года. За время ее существования было произведено более 1500 инсталляций в СНГ и за рубежом.За время работы у компании сформирован достаточно объемный репозитарий,содержащий как уникальные разработки компании,так и дистрибутивы,исходные коды программного обеспечения партнеров компании.Наша организация с пониманием относится к ценности подобных массивов данных,однако халатное отношение к хранению и обработке,привело к утечке.Критическая оценка скомпрометированных данных позволяет нам оценивать инцедент как фатальный для многих аспектов деятельности компании.Объем массива 250 тб.Стоимость не разглашения 640000$. |
|||||
| Ransomware | bigcenters.rs id10219 View details | Serbia | Other | — | |
|
Посетите ближайший БОЛЬШОЙторговый центр! Вас ждут более 1000магазинов самых известных мировыхи отечественных брендов. |
|||||
| Ransomware | aek.mk id10218 View details | North Macedonia | Communication / Marketing | ||
|
We create favourable conditions for the effective and sustainable competition on the electronic communications market to serve the interests of the users, business society and communications industry, through effective, transparent, proportionate and proactive application of the regulatory tools. |
|||||
| Ransomware | metalnet.nl id10217 View details | Netherlands | Manufacturing / Engineering | ||
|
Metalnet is a high-level supplier of machining operations. With our divisions for high-precision precision components and cost-effective fine mechanical parts, we are able to produce customer-oriented solutions for the most diverse industrial sectors. |
|||||
| Ransomware | interfides.de id10216 View details | Germany | Services | ||
|
interfides Steuerberatungsgesellschaft mbH was established in 1978, and specialises in providing advisory services to foreign clients with a business presence in Germany. |
|||||
| Ransomware | lzaim38.ru id10215 View details | Russian Federation | Other | ||
|
Компания "Лёгкий ЗАЙМ", имеющая в Иркутской области развитую сеть офисов микрофинансирования, предлагает Вам возможность получить быстрый займ наличными! Все, что потребуется - это паспорт гражданина РФ и несколько минут, которых будет достаточно, чтобы получить необходимые в данный момент средства. Наши офисы расположены в общедоступных местах и имеют типичное рекламное оформление - вывеску в ярких тонах и плакаты с надписью "Легкий Займ".Компания не заботится надлежащим образом о своей безопасности и что гораздо более существенно- о безопасности своих клиентов.Данные компании полностью скомпрометированы,публикации подлежит все,кроме данных простых людей. |
|||||
| Ransomware | qb2b.ru id10214 View details | Russian Federation | Other | ||
|
Компания занимается преимущественно бухгалтерским обслуживанием организаций малого бизнеса.Имеет хорошую репутацию в регионе.Проблемы информационной безопасности и слабый ИТ персонал ставят под угрозу данные клиентов,в том числе банковские.Вся конфиденциальная информация будет опубликована на нашем сайте и его зеркалах. |
|||||
| Ransomware | emprint.com id10213 View details | Communication / Marketing | — | ||
|
Emprint предлагает различные решения для печати и бизнеса, такие как вариативная печать, переплет, печать по запросу, интернет-магазины и многое другое. |
|||||
| Ransomware | lapostemobile.fr id10212 View details | France | Telecommunications | ||
|
PosteMobile S.p.A. — итальянскаятелекоммуникационная компания,принадлежащая Poste Italiane S.p.A.которая работает в секторе мобильнойтелефонии в качестве операторамобильной виртуальной сети (Full MVNO)в сети Wind, а с 2018 года такжепредлагает фиксированную телефоннуюсвязь и интернет-услуги. |
|||||
| Ransomware | acac.com id10211 View details | Healthcare / Pharma | |||
|
We’re dedicated to the integration of medicine and fitness to improve community health by focusing on prevention, treatment, and rehabilitation of lifestyle-related disease. |
|||||
| Ransomware | krasnoyarsk.amaks id10210 View details | Hospitality / Food & Beverage / Tourism | |||
|
«АМАКС Сити-отель» - современный пятнадцатиэтажный бизнес-комплекс, который входит в гостиничную сеть AMAKS Hotels&Resorts.У отеля проблемы с информационной безопасностью.Не смотря на то,что в целом присутствует централизованная политика управления антивирусным решением на хостах,данные клиентов не защищены.Более 1 террабайта данных будут опубликованы для всех желающих на зеркалах в сети TOR. |
|||||
| Ransomware | avrora24.ru id10209 View details | Russian Federation | Other | ||
|
755369 клиентов,поддерживаем высокий уровень качества услуг - согласно проведенным исследованиям, индекс удовлетворенности наших клиентов NPS на уровне!Имеем более 100 филиалов.10 лет на рынке.130000$. |
|||||
| Ransomware | habarovsk.amaks id10208 View details | Hospitality / Food & Beverage / Tourism | |||
|
Уютный АМАКС Конгресс-отель располагается недалеко от спортивного комплекса «Платинум Арена» в Хабаровске. Современное восьмиэтажное здание располагает почти двумя сотнями номеров, вместительностью до 300 человек.Данные клиентов и гостей не защищены.Инфраструктура не защищена.Сетевой периметр не защищен.Доступ к серверам видеонаблюдения не охраняется должным образом.Вся информация будет опубликована на зеркалах нашего сайта и сайтах партнеров. |
|||||
| Ransomware | maritimebank.com id10207 View details | Finance / Legal / Insurance | |||
|
МОРСКОЙ БАНК (АО) работает на рынке банковского обслуживания уже 34 года и является одним из старейших финансовых институтов России.Банк был основан 29 марта 1989 года государственными учреждениями и предприятиями морского и речного транспорта в целях комплексногофинансового обслуживания субъектов отрасли с учетом особенностей их хозяйственной деятельности.Согласно бюджета на информационную безопасность тратится крайне мало средств,в следствии чего данные клиентов не защищены.Все 120 тб данных будут опубликованы.Стоимость не разглашения на сегодняшний день составляет 1000000$. |
|||||
| Ransomware | croc.ru id10206 View details | Russian Federation | Other | ||
|
ЗАО «КРОК инкорпорейтед» — российская компания, связанная с рынком информационных технологий. Работает на рынке c 1992 года и занимается предоставлением услуг в области системной интеграции, тиражируемых продуктов, управляемых B2B-сервисов, перспективных сквозных технологий (Big Data, блокчейн, искусственный интеллект, интернет вещей, роботизация, машинное обучение). Компания владеет собственной сетью дата-центров и работает на рынке облачных сервисов и услуг ЦОД.Конфиденциальные данные скомпрометированы,информация выгружена и надежно сохранена на резервных и подконтрольных группе серверах.Ведутся переговоры.170000$. |
|||||
| Ransomware | carmoney.ru id10205 View details | Russian Federation | Other | ||
|
Общество с ограниченной ответственностью Микрофинансовая компания «КарМани».CarMoney - современный онлайн-сервис автозаймов.Выдает деньги под залог авто и спецтехники. При этом машина и ПТС остаются у клиента.Полный архив данных,60 террабайт будет опубликовано. |
|||||
| Ransomware | roomhotel-sochi.ru id10204 View details | Russian Federation | Hospitality / Food & Beverage / Tourism | ||
|
Отель «RoomHotel» с видом на город удобно расположен в центре Сочи, рядом с Сочинским государственным цирком, Летним театром и Зимним театром. В пешей доступности популярные достопримечательности города. Расстояние до пляжа 500 м. |
|||||
| Ransomware | atol.ru id10203 View details | Russian Federation | Retail / E-commerce | ||
|
АТОЛ – IT-компания, ведущий российский производитель оборудования и разработчик программного обеспечения для автоматизации таких сфер как ритейл, e-commerce, услуги, включая HoReCa, транспорт, ЖКХ и многое другое.Облачный сервис компании, «АТОЛ Онлайн», является первым и одним из самых крупных в РФ среди KaaS-решений («касса как сервис») по занимаемой доле рынка. Также АТОЛ поставляет POS-оборудование и решения для автоматизации склада. Сервера баз данных скомпрометированы.Данные клиентов,программное обеспечение,персональные данные похищены.Стоимость не публикации и удаления всей скомпрометрованной информации составляет 450000$. |
|||||
| Ransomware | gaztranscom.ru id10202 View details | Russian Federation | Other | ||
|
Общество с ограниченной ответственностью «Газотранспортная компания» зарегистрировано Межрайонной инспекцией Федеральной налоговой службы № 18 по РТ 18.08.2014 г., на основании принятого 07 августа 2014 года решения Общего собрания учредителей Общества о его создании.Главной целью производственной деятельности ООО «ГТК» является создание и эксплуатация газораспределительной системы для обеспечения природным газом предприятий ГК ТАИФ. Со II половины 2014 г. и до 2017 г. были выполнены работы по проектированию, строительству и наладке объекта: «Газопровод высокого давления Ду 1220 от ГРС-2 г. Нижнекамск».С 2017 г. ООО «ГТК» осуществляет эксплуатацию газопровода и транспортирует природный газ от ГРС-2 г. Нижнекамск ООО «Газпром трансгаз Казань» предприятиям ГК ТАИФ в г. Нижнекамск. Соучредителем компании является Группа ТАЙФ,Новый состав Группы ТАИФ объединяет 17 компаний, в которых работает более 8 тысяч человек. На сегодняшний день компании Группы ТАИФ задействованы во многих секторах экономики Российской Федерации. Инвестиционный портфель АО «ТАИФ» широко диверсифицирован и сбалансирован и состоит из акций и долей участия в российских компаниях в таких отраслях, как нефтегазопереработка, оптовая и розничная реализация нефтепродуктов, строительство и производство строительных материалов, деловая авиация, деятельность СМИ, инвестиционно-финансовые, комплексные и прочие услуги.Данные компании и клиентов не защищены и будут опубликованы для всех желающих.Халатное отношение и хранению информации,отсутствие внятной политики СЗИ,защиты сетевого периметра.Устаревшие сервера и оборудование.Похоже единственное,что заботит руководителя-как конвертировать 20000 евро в манаты. |
|||||
| Ransomware | kailos.ru id10201 View details | Russian Federation | Other | ||
|
Агентство деловых услуг "Кайлос" начало свою работу 28 ноября 2007 года с одного маленького офиса и цеха площадью 20 кв. м. в составе 4-х человек (директора, главного бухгалтера, мастера цеха и менеджера). На сегодняшний день работает 24 специалиста, 2 офиса по работе с клиентами, 3 производственных цеха общей площадью 250 кв. м.Агентство входит в холдинг, что позволяет ему стабильно работать. Компания динамично развивается, ежегодно увеличивая оборот на 30 %.При этом агентство совершенно не заботит утечка и утеря данных в колоссальных масштабах. |
|||||
| Ransomware | promproektspb.ru id10200 View details | Russian Federation | Communication / Marketing | ||
|
Компания была основана с целью занять достойное место на рынке экспертных услуг в сфере промышленной безопасности. ПРОМПРОЕКТ прочно опирается на технические компетенции сотрудников и европейский подход к менеджменту.Компания учавствовала в крупных международных проектах строительства газопроводов «Северный поток 1» и «Южный поток» и в сотрудничестве с такими компаниями, как Nord Stream AG, South Stream Transport B.V., Saipem, Siemens, Rosen Europe B.V., PetrolValves и многими другими.Уязвимые версии серверов,отсутствие безопасной парольной политики и решений защиты сетевого периметра привели к утечке данных весьма серьезных клиентов компании.Все данные будут опубликованы на зеркалах нашего сайта и в сети TOR. |
|||||
| Ransomware | auditexpertnn.ru id10199 View details | Russian Federation | Finance / Legal / Insurance | ||
|
Центр бухгалтерских услуг «АУДИТ-ЭКСПЕРТ» принимает желание заказчика работать эффективно как профессиональный ориентир.Оказывая бухгалтерские услуги удаленно в Нижнем Новгороде и Нижегородской области, специалисты компании «АУДИТ-ЭКСПЕРТ» работают в ваших интересах.Интересно,что базы данных клиентов,находящиеся на серверах компании абсолютно не защищены.Равно как ключи доступа к онлайн банкингам,например.Так или иначе-мы все опубликуем,почему бы клиентам компании не узнать с кем они имеют дело? |
|||||