среда, 21 августа 2019 г.

Nemty

Nemty Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: NEMTY PROJECT. На файле написано: fuicpj.exe или что попало.

Обнаружения: 
DrWeb -> Trojan.Siggen8.40291
BitDefender -> Trojan.GenericKD.41613105
Malwarebytes -> Ransom.Nemty
Symantec -> ML.Attribute.HighConfidence
Kaspersky -> Trojan-Ransom.Win32.Gen.snw

© Генеалогия: выясняется, явное родство с кем-то не доказано.

К зашифрованным файлам добавляется расширение: .nemty

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину августа 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: NEMTY-DECRYPT.txt

Содержание записки о выкупе:
---=== NEMTY PROJECT ===---
[+] Whats Happen? [+]
Your files are encrypted, and currently unavailable. You can check it: all files on you computer has extension .nemty
By the way, everything is possible to restore, but you need to follow our instructions. Otherwise, you cant return your data (NEVER).
[+] What guarantees? [+]
It's just a business. We absolutely do not care about you and your deals, except getting benefits.
If we do not do our work and liabilities - nobody will not cooperate with us.
It's not in our interests.
If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data, cause just we have the private key.
In practise - time is much more valuable than money.
[+] How to get access on website? [+]
  1) Download and install TOR browser from this site: https://torproject.org/
  2) Open our website: zjoxyw5mkacojk5ptn2iprkivg5clow72mjkyk5ttubzxprjjnwapkad.onion/pay
When you open our website, follow the instructions and you will get your files back.
Configuration file path: C:\Users\admin

Перевод записки на русский язык:
--- === NEMTY PROJECT === ---
[+] Что случилось? [+]
Ваши файлы зашифрованы и теперь недоступны. Вы можете проверить это: все файлы на вашем компьютере имеют расширение .nemty
Кстати, все можно восстановить, но нужно следовать нашим инструкциям. В противном случае вы не сможете вернуть свои данные (НИКОГДА).
[+] Какие гарантии? [+]
Это просто бизнес. Мы абсолютно не заботимся о вас и ваших сделках, кроме получения выгоды.
Если мы не будем выполнять свою работу и обязательства - никто не будет с нами сотрудничать.
Это не в наших интересах.
Если вы не будете сотрудничать с нашим сервисом - для нас это не имеет значения. Но вы потеряете свое время и данные, потому что только у нас есть закрытый ключ.
На практике время гораздо ценнее денег.
[+] Как получить доступ на сайт? [+]
  1) Загрузите и установите браузер TOR с этого сайта: https://torproject.org/
  2) Откройте наш веб-сайт: zjoxyw5mkacojk5ptn2iprkivg5clow72mjkyk5ttubzxprjjnwapkad.onion/pay
Когда вы откроете наш сайт, следуйте инструкциям, и вы получите свои файлы обратно.
Путь к файлу конфигурации:



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки командами:
vssadmin.exe delete shadows /all /quiet & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog -quiet & wmic shadowcopy delete

 UAC не обходит, требуется разрешение на запуск. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
NEMTY-DECRYPT.txt
fuicpj.exe
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL:
zjoxyw5mkacojk5ptn2iprkivg5clow72mjkyk5ttubzxprjjnwapkad.onion
zjoxyw5mkacojk5ptn2iprkivg5clow72mjkyk5ttubzxprjjnwapkad.onion/pay
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Nemty)
 Write-up, Topic of Support
 * 
 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (author)
 CyberSecurity GrujaRS
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

вторник, 20 августа 2019 г.

Viagra

Viagra Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA-4096 (для AES-ключа), а затем требует выкуп в 0.4 BTC ~ 403.60 USD, чтобы вернуть файлы. Оригинальное название: Viagra Ransomware. На файле написано: dotnetfx35setup.exe или что-то другое, тоже известное. Фальш-имя: Microsoft .NET Framework 3.5. Фальш-копирайт: Microsoft Corporation. Также есть отметка о версии: Viagra yungthugger (V-0.1.31)

Обнаружения:
DrWeb -> Trojan.Encoder.29308
BitDefender -> Generic.Ransom.Spora.6EC2E0B1
Symantec -> Trojan.Gen.MBT
Kaspersky -> HEUR:Trojan.MSIL.DelShad.gen
Avira (no cloud) -> TR/AD.RansomHeur.nhpgb



Изображение — только логотип статьи

© Генеалогия: выясняется, явное родство с кем-то не доказано.

В записке о выкупе упоминается расширение: .ObcK

К зашифрованным файлам добавляется случайное закодированное в base64 расширение. Например: .Qtyu8vH5wDXf6OSWAm5NuA==ObcK

Пример зашифрованного файла: desktop.ini.Qtyu8vH5wDXf6OSWAm5NuA==ObcK

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя был обнаружен в середине августа 2019 года, но тз текста записки можно узнать, что активность его пришлась на середину мая 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется по шаблону: README-VIAGRA-<random{8}>.HTML

Пример записки о выкупе: README-VIAGRA-ObcKWm4z.HTML

Содержание записки о выкупе:
YOU BECAME VICTIM OF THE VIAGRA RANSOMWARE!
What happened to my files?
Your files were encrypted with AES-256 and RSA-4096. This combination is cryptographically secure and cannot be cracked. There are no flaws in the encryption 
method. Tools like Recuva, or Shadow Copies will fail as soon as they are launched. But, your hope is not to lose. Every file with the ".ObcK" extension was encrypted 
(you can verify by yourself that, just, go into your user profile folders, for example, or, into your connected drives).
How do I decrypt my files?
To decrypt your files, you will need to pay a certain amount of money to us, in an anonymous manner.
First step, is to create an Bitcoin account (if you don't have one), use the following URL:
Crypto Runner guide.
InvestoPedia guide.
Send a payment to the following BitCoin address of 0.4 BTC ~ 403.60 USD, and keep the transaction / payment ID:
1Bqca3tn3Yco6SftgHeyYQUxqb2MPtwFBj
After, contact one of the following e-mail addresses present below. If you do not get a reply from one, send to the other one, until you get a reply (this happens in less 
than 24 hours, in normal conditions); check also your spam folder. Use your real E-mail address, and use the subject "Decryption"; add as attached file this HTML 
document, and add to the body the payment ID. We do not give decryption for test service, so, don't request for free decryption on the e-mail. We will tell the rest of 
istructions after the e-mail was sent.
Do what you're told. Don't try to swear on us, or we will block you and your ID forever. Don't try to fool us into using 10MinuteMail or similar services,
use them for later. 
E-mail addresses:
First address ("youngthug412")
First address ("hparrockneverstop")
After decryption, your E-mail address and your ID will be wiped off our servers, don't fear for your life.
Is there a time limit?
Yes, three months from now (day, month, year; Monday, August 19, 2019, 9:20:30 AM). Date was added to the ID, and is not removable from it (will make us ignore 
you forever). Be quick to pay, after 1,5 months from now, the price will be raised of the 50%, and, after three months, your ID will be blocked, that will happen also to 
your real e-mail address.
-- Nigga livin life like vulcano and this only the beginnin' --
ID: ObcKWm4zMNJW9191xnByMdFR0HF18W7ZRMxp/OsETNDv6J+B4ZZS5y84U4xWq4/d30h/G7+Z2Uxnjf2ZSK80YgtYqLP4iwOZhEYsexl
+UZmNMJlQFmISxhAlh7KSwWazUorr/qeV4rlpofEylO8Jp1ZSITZZq8EC4i3AdJ4uiKmNL0NAN50wShBt2CdsguFfNuqG1iyqM0nl447oD4a4WwlyevKts
+40xEztED1bCJ91jcMC7/vf4iiM8+BJXOJu9nLn97ml6CAOKhQB03bhdVXdcVNMlrSFPMQ4VTkKvlufv8SEgcp0RY9yA9jCgr1lPwDyCQ/6QCQGwWTYUxDYUGd0kQKWEL9o
upAE4ajgpWsH1UltxH4MLtmX2YrOAe/sf9VHmMiv2cSO/jPPqrFnvu+h+Ug6kYMkHpG5K9l7OJV/EOw6l46mKSN5ITy1rfUuX7/q2G+0fgYuafYBJFC2Gv6Pxc2cOM4stA
+rdwdYITFmrlNnvV7ifvyHvKVyWNM8OwMAc9smRdz99gBmAl/TsgfCm6zHoRXUuEMXvCtwPb44Co9EjkKLpGlDovIr03+MB54iqUy9O87i8RZq5lzKYp0Hha4We4SWDmnE
XQ0IZ9UV8DHRzI49RMS9fXB3LxfTw4QwakYJ98SV/TW1OdQqCRl6PJdOY97+AFMEcySIt8U=

Ссылки в сообщении:
https://cryptorunner.com/get-started-with-bitcoin/
https://www.investopedia.com/tech/how-to-buy-bitcoin/

Email в сообщении: 
youngthug412@protonmail.com
hparrockneverstop@protonmail.com

Перевод записки на русский язык:
ВЫ СТАЛИ ЖЕРТВОЙ ПРОГРАММЫ VIAGRA!
Что случилось с моими файлами?
Ваши файлы были зашифрованы с помощью AES-256 и RSA-4096. Эта комбинация криптографически безопасна и не может быть взломана. В методе шифрования нет недостатков. Такие инструменты, как Recuva или Shadow Copies, не будут работать сразу после запуска. Но ваша надежда не потеряна. Каждый файл с расширением ".ObcK" был зашифрован (вы можете сами убедиться, что просто зайдите, например, в папки своего профиля пользователя или на подключенные диски).
Как мне расшифровать мои файлы?
Чтобы расшифровать ваши файлы, вам нужно будет заплатить нам определенную сумму анонимно.
Первый шаг - создать учетную запись Bitcoin (если у вас ее нет), используйте следующий URL:
Руководство по Crypto Runner.
Руководство InvestoPedia.
Отправьте платеж на следующий адрес BitCoin 0,4 BTC ~ 403.60 USD и сохраните ID транзакции / платежа:
1Bqca3tn3Yco6SftgHeyYQUxqb2MPtwFBj
После, свяжитесь с одним из следующих адресов email, представленных ниже. Если вы не получили ответ от одного, отправьте другому, пока не получите ответ (в обычных условиях это происходит менее чем за 24 часа); проверьте также папку со спамом. Используйте свой реальный адрес email и используйте тему "Decryption"; добавьте в качестве прикрепленного файла этот HTML-документ и добавьте в тело ID платежа. Мы не предоставляем услугу тестовой расшифровки, поэтому не запрашивайте бесплатную расшифровку по email. Мы расскажем об остальной части инструкции после отправки email.
Делай то, что тебе говорят. Не пытайтесь ругаться с нами, иначе мы навсегда заблокируем вас и ваш ID. Не пытайтесь обмануть нас в использовании 10MinuteMail или аналогичных сервисов, используйте их позже.
Адреса email:
Первый адрес ("youngthug412")
Первый адрес ("hparrockneverstop")
После расшифровки ваш адрес email и ваш ID будут стерты с наших серверов, не бойтесь за свою жизнь.
Есть ли ограничение по времени?
Да, через три месяца (день, месяц, год; понедельник, 19 августа 2019 г., 9:20:30). Дата была добавлена ​​к идентификатору и не может быть удалена из нее (заставит нас игнорировать вас навсегда). Быстро оплатите, через 1,5 месяца цена будет повышена на 50%, а через три месяца ваш ID будет заблокирован, что также произойдет с вашим реальным адресом электронной почты.
- Ниггер живёт как вулкан и это только начало -
ID: ***




Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Выполняется как служба Windows. 

 Для всех файлов с помощью RNG (генератора случайных чисел) генерируется один ключ AES, который шифруется открытым ключом RSA-4096 (вместе с текущей датой) и используется в качестве идентификатора в записке о выкупе. Файлы переименовываются в <filename>.<Base64 (IV)> <sub (ID, 4)>

 Удаляет теневые копии файлов с помощью команды:
vssadmin.exe Delete Shadows /All /Quiet

Список файловых расширений, подвергающихся шифрованию:
.$$$, .3dm, .3ds, .3g2, .3gp, .602, .apk, .arj, .asm, .au3, .avi, .band, .bat, .bik, .bin, .bit, .bkp, .bmp, .cad, .ccp4, .cdf, .cdr, .cer, .cfg, .cfm, .cgi, .class, .com, .conf, .cpp, .cps, .css, .csv, .dbg, .deb, .djvu, .doc, .docm, .docx, .dot, .dotm, .elf, .eml, .eossa, .eps, .erf, .fds, .flac, .gadget, .gba, .gbc, .gif, .gml, .gsm, .hpp, .htm, .html, .ico, .ihtml, .ini, .jar, .java, .jpeg, .jpg, .jsp, .jtd, .jtt, .key, .lip, .lua, .m4a, .maf, .mcpack, .mctemplate, .mkv, .mmp, .mmpz, .mov, .mp2, .mp3, .mpa, .mpp, .myd, .navpath, .ncf, .nfo, .nokogiri, .nrg, .nsh, .nth, .nvram, .oa2, .oa3, .obj, .obt, .obx, .obz, .ocr, .oda, .odb, .odf, .odg, .odif, .odl, .odo, .ogg, .opus, .osd, .osf, .osr, .osu, .p01, .p10, .p12, .p7b, .p7c, .pak, .pcd, .pdb, .pdc, .pdf, .peb, .pef, .pfx, .php, .pk3, .pkg, .ply, .png, .ppt, .pptm, .pptx, .ppx, .prc, .proofingtool, .prz, .ps1, .ps1xml, .pub, .pubx, .pyc, .pys, .qbm, .qbx, .r00, .rar, .rdb, .reg, .rss, .rtf, .rwlibrary, .sam, .sas7bdat, .sav, .sheet, .shtml, .sis, .skb, .sln, .smh, .spb, .spc, .sql, .sqlite, .sqlite1, .ssh, .ssx, .stone, .struct, .suf, .svg, .swift, .szs, .tar, .tar.gz, .tdr, .tex, .tga, .tgz, .thm, .tif, .tiff, .tml, .tor, .torrent, .txt, .url, .vbs, .vgm, .vid, .vob, .wad, .war, .wdb, .web, .webmoney, .wks, .wmv, .wpl, .wps, .wsf, .x11, .xhtml, .xla, .xls, .xlsm, .xlsx, .xml, .xpl, .xsl, .zip (211 расширений).
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README-VIAGRA-ObcKWm4z.HTML
BACKGROUND.BMP
vssvc.exe
dotnetfx35setup.exe
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Windows\system32\vssvc.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: youngthug412@protonmail.com, hparrockneverstop@protonmail.com
BTC: 1Bqca3tn3Yco6SftgHeyYQUxqb2MPtwFBj
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >> IA>>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 
 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

четверг, 15 августа 2019 г.

Plague17 (2018-2019)

Plague17 (2018-2019) Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: gwintl.exe.

Обнаружения:
DrWeb -> Trojan.Encoder.27591 (примерно первая половина 2018 года)
BitDefender -> Generic.Ransom.WCryG.300EC0B4
Avira (no cloud) -> HEUR/AGEN.1037382
Kaspersky -> HEUR:Trojan.Win32.Generic
Symantec -> Trojan.Gen.MBT

© Генеалогия: Plague17 (2014-2016)AMBA > Crypto_LabRussenger > Dont_Worry > Plague17 (2018-2019)

К зашифрованным файлам добавляется составное расширение .PLAGUE17, но целиком это используется по шаблону: <16 hex digits>.PLAGUE17-<16 hex digits> или <random_ID{16}>.PLAGUE17-<random_ID{16}>

Примеры зашифрованных файлов:
5e6481204ee2eada.PLAGUE17-7f1782e9301beb6f
43e9848d62de9642.PLAGUE17-5c2547980f3ffbf2


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя был найден в середине августа 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Неизвестно о пострадавших из других стран. Но на протяжении 2014-2018 годов Plague17 уже был активен с тем же именем, а пострадавшие от него заваливали запросами русскоязычные форумы. 

Записка с требованием выкупа называется: PLAGUE17.txt

Содержание записки о выкупе:
Внимание!
Если Вы читаете это сообщение, значит Ваш компьютер был атакован опаснейшим вирусом.
Вся Ваша информация (документы, базы данных, бэкапы и другие файлы) на этом компьютере была зашифрована.
Все зашифрованые файлы имеют расширение .PLAGUE17
Ни в коем случае не изменяйте файлы! И не используйте чужие дешифраторы, Вы можете потерять Ваши файлы навсегда.
Напишите нам письмо на адрес plague17@riseup.net , чтобы узнать как получить дешифратор.
Если мы Вам не ответили в течении 3 часов - повторите пересылку письма.
В письмо вставьте текст из файла 'PLAGUE17.txt' или напишите номер - 68286653
В первом письме не прикрепляйте файлы для дешифровки. Все инструкции вы получите в ответном письме.

Перевод записки на русский язык:
*** уже сделан ***



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
PLAGUE17.txt
gwintl.exe
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: plague17@riseup.net
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Plague17 / AMBA Family (семейство  Plague17 / AMBA):
Plague17 Ransomware - март 2014 - 2016
AMBA Ransomware - июнь, сентябрь 2016
Crypto_Lab Ransomware - сентябрь 2017
Russenger Ransomware - февраль 2018
Dont_Worry Ransomware - март-апрель 2018
Plague17 Ransomware - май 2018-август 2019



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Plague17)
 Write-up, Topic of Support
 * 
 Thanks: 
 Alex Svirid, Michael Gillespie
 Andrew Ivanov (author)
 *
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

понедельник, 12 августа 2019 г.

Scarab-Dharma

Scarab-Dharma Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->

© Генеалогия: Scarab >> другие Scarab-варианты > Scarab-Dharma
Это изображение — логотип статьи. Изображает скарабея и Дхарму.
This image is the logo of the article. It depicts a scarab with Dharma icon.

К зашифрованным файлам добавляется расширение: .[grethen@tuta.io]

Зашифрованные файлы переименовываются с помощью base64, примеры таких файлов: 
=ZSXAslzqVbYj6t6W5LdI7msd4C=pWPk+HlJByES+MPzGhJ2Bu4e8lI1tlXr9LukoWo.[grethen@tuta.io]
6HzOYeOaBKBgA=LkMJQ6XGyv8b1cqGOP0QiAT77COSEJjWLNCnbfvvxc8YjUKJCwdu8.[grethen@tuta.io]

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Этимология названия:
Вторая часть названия Scarab-Dharma обусловлена тем, что вымогатели, видимо, состоят или ранее состояли в другой преступной группе, которая долгое время распространяет Dharma Ransomware. Они заимствовали тип записки (HTA-файл) и текст из некоторых вариантов Dharma (слово в слово), а также совместили этот тип записки с текстовой запиской с таким же названием. 

Активность этого крипто-вымогателя пришлась на конец июля - начало августа 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются:
READ ME.TXT
READ ME.hta

Содержание записки READ ME.TXT:
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail grethen@tuta.io 
Write this ID in the title of your message
+4IAAAAAAA***6sZBLHk
In case of no answer in 3 hours write us to theese e-mails: grethen@protonmail.ch 
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee 
Before paying you can send us up to 1-3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.) 
How to obtain Bitcoins 
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
<https://localbitcoins.com/buy_bitcoins> 
Also you can find other places to buy Bitcoins and beginners guide here: 
<http://www.coindesk.com/information/how-can-i-buy-bitcoins/> 
Attention! 
Do not rename encrypted files. 
Do not try to decrypt your data using third party software, it may cause permanent data loss. 
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam. 

Перевод записки на русский язык:
Все ваши файлы были зашифрованы из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам на email grethen@tuta.io
Напишите этот ID в заголовке вашего сообщения
+ 4IAAAAAAA *** 6sZBLHk
В случае отсутствия ответа в течение 3 часов напишите нам на email: grethen@protonmail.ch
Вы должны платить за расшифровку в биткойнах. Цена зависит от того, как быстро вы напишите нам. После оплаты мы вышлем вам инструмент дешифрования, который расшифрует все ваши файлы.
Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить нам до 1-3 файлов для бесплатной расшифровки. Общий размер файлов должен быть менее 3 МБ (не в архиве), и файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т. д.)
Как получить биткойны
Самый простой способ купить биткойны - это сайт LocalBitcoins. Вы должны зарегистрироваться, нажать 'Buy bitcoins' и выбрать продавца по способу оплаты и цене.
<https://localbitcoins.com/buy_bitcoins>
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
<http://www.coindesk.com/information/how-can-i-buy-bitcoins/>
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою плату к нашей), или вы можете стать жертвой мошенничества.
---



Содержание записки READ ME.hta:
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail grethen@tuta.io
Write this ID in the title of your message 63 BD 46 54 29 54 34 20 *** A1 90 FB 1D C5 33
In case of no answer in 3 hours write us to theese e-mails: grethen@protonmail.ch
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 1-3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
https://localbitcoins.com/buy_bitcoins 
Also you can find other places to buy Bitcoins and beginners guide here: 
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.

Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Перевод записки на русский язык:
Такой же, как в текстовом сообщении, но с другим ID. 



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ ME.TXT
READ ME.hta
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: grethen@tuta.io, grethen@protonmail.ch
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Scarab Family (семейство Scarab):
Scarab (ScarabLocker) - июнь-август 2017, ноябрь 2017
Scarab-Scorpio (Scorpio) - июль 2017
Scarab-Jackie - октябрь 2017
Scarab-Russian (Scarabey) - декабрь 2017
Scarab-Decrypts - март 2018
Scarab-Crypto - март 2018
Scarab-Amnesia - март 2018
Scarab-Please - март 2018
Scarab-XTBL - апрель 2018
Scarab-Oblivion - апрель 2018
Scarab-Horsia - май 2018
Scarab-Walker - май 2018
Scarab-Osk - май 2018
Scarab-Rebus - май 2018
Scarab-DiskDoctor - июнь 2018
Scarab-Danger - июнь 2018
Scarab-Crypt000 - июнь 2018
Scarab-Bitcoin - июнь 2018
Scarab-Bomber - июнь 2018
Scarab-Omerta - июнь-июль 2018
Scarab-Bin - июль 2018
Scarab-Recovery - июль 2018
Scarab-Turkish - июль 2018
Scarab-Barracuda - июль 2018
Scarab-CyberGod - август 2018
Scarab-Enter - ноябрь 2018
Scarab-Aztec (Pizza) - декабь 2018
Scarab-Zzz - январь 2019
Scarab-Crash - январь 2019
Scarab-Gefest - январь 2019
Scarab-Artemy - февраль 2019
Scarab-Kitty - март 2019
Scarab-Monster - апрель 2019
Scarab-Dharma - июль-август 2019



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 myTweet
 ID Ransomware (ID as Scarab)
 Write-up, Topic of Support
 * 
 Thanks: 
 Emmanuel_ADC-Soft, Michael Gillespie
 Andrew Ivanov (author)
 *
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

Постоянные читатели

Получать письма / Follow by E-mail

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton