TrueCrypter

TrueCrypter Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью двойного шифрования AES-256 и RSA-2048, а затем требует выкуп в 0.2 BTC или $115 в подарочной карте Amazon, чтобы вернуть файлы. Оригинальное название: TrueCrypter. 

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .enc

Активность этого крипто-вымогателя пришлась на конец апреля 2016 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Вероятно, что эта программа была сделана любителем, а не опытным разработчиком вредоносных программ, т.к. получателя оплаты можно отследить с помощью Amazon. 

Запиской с требованием выкупа выступает экран блокировки. 

Другим информатором жертвы выступает скринлок, встающий обоями рабочего стола. 

Скринлок на обоях рабочего стола

Содержание текста о выкупе с обоев:
If you see this text, probably your computer got encrypted by TrueCrypter. This means all your important files (documents, images, etc.) are now unaccessible and you will lose them forever unless you pay a sum of money to get your decryption key.
The decryption key uses the RSA-2048 algorythm, impossible to crack. Your files will be lost forever without paying.
If you don't care about your files, just uninstall this software.
If you lost the application because your antivirus deleted it, or you need help, you can contact us on our email:
trueransom@mail2tor.com
(You only have 72 hours before your private key will be destroyed, hurry up if you want to save your files!)

Перевод текста на русский язык:
Если вы видите этот текст, видимо, ваш компьютер зашифрован TrueCrypter. Это значит, что все ваши важные файлы (документы, изображения и т.д.) теперь недоступны, и вы потеряете их навсегда, если не заплатите денежную сумму, чтобы получить ключ дешифрования.
Ключ дешифрования использует алгоритм RSA-2048, который невозможно взломать. Ваши файлы будут потеряны навсегда без оплаты.
Если вам не нужны ваши файлы, просто удалите эту программу.
Если вы потеряли приложение, т.к. ваш антивирус удалил его или вам нужна помощь, вы можете связаться с нами по enail:
trueransom@mail2tor.com
(У вас есть только 72 часа, прежде чем ваш секретный ключ будет уничтожен, торопитесь, если хотите сохранить свои файлы!)

Технические детали

После запуска в системе TrueCrypter может проверить работу своего процесса в виртуальной системе или песочнице (VMWare, VirtualBox, Sandboxie). Если это так, то процесс будет прекращён. Если это обычная система, то он проверяет наличие процессов, относящихся к программам безопасности. Обнаружив один из таких процессов, он завершает его. 
К ним относятся: antilogger, wireshark, charles, fiddler, netmon, reflector, sbiectrl, taskmgr.
Как оказалось позже, функционал проверки работы в виртуальной системе пока не используется.

Затем TrueCrypter подключается к странице *ask.fm/innocentask001*, содержащей закодированную строку. При декодировании она откроет информацию о конфигурации: адрес C&C-TOR-сервера, сумму оплаты выкупа и Bitcoin-адрес для использования.

Например, зашифрованная строка:
XjwajwZwq=myyu://r2htkyphj5l4ldef.tsnts.lv GnyhtnsFiiwjxx=1337XkOg91bRK7Z7yUDXJf2KGyUw7uEcon GnyhtnsFrtzsy=0.2 FrfetsFrtzsy=115
декодируется в:
ServerUrl=Onion2web BitcoinAddress=1337SfJb91wMF7U7tPYSEa2FBtPr7pZxji BitcoinAmount=0.2 AmazonAmount=115

Далее крипто-вымогатель начинает шифрование файлов на жестких дисках с использованием алгоритма AES-256. 
Каждый файл шифруется с уникальным AES-ключом, а затем этот ключ с шифруется с использованием RSA. 
Зашифрованный таким образом ключ дешифрования сохраняется в конце зашифрованного файла. 
Затем к зашифрованному файлу добавляется расширение .enc, а имя файла сохраняется в файл encrypted.dat 

Во время процесса шифрования вымогатель устанавливает в качестве обоев рабочего стола Windows файл background.jpg
Затем удаляются точки восстановления системы и теневые копии файлов командой:
vssadmin delete shadows /all /quiet

TrueCrypter сохраняет информацию о своей конфигурации в файл TrueCrypter.xml

Информация о проделанном шифровании файлов отправляется на C&C-сервер.

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.7z, .7zip, .arw, .as, .asm, .asp, .aspx, .au3, .avi, .bash, .bat, .bmp, .bookmarks, .bsh, .c, .cbr, .cc, .cer, .cfm, .class, .cmd, .config, .cpp, .cr2, .crw, .cs, .csh, .csproj, .csr, .css, .csv, .cxx, .d, .db, .dcr, .dds, .deb, .dib, .dng, .doc, .docm, .docx, .dot, .dotm, .dotx, .dtd, .eps, .fla, .fpx, .gif, .gif, .gz, .gzip, .h, .hpp, .hta, .htm, .html, .hxx, .ico, .inc, .inc, .index, .ini, .jad, .java, .jfif, .jpe, .jpeg, .jpg, .js, .jsm, .json, .jsp, .jss, .jsx, .kix, .lex, .litcofee, .lpr, .lua, .m, .mov, .mp3, .mp4, .mrw, .msg, .mx, .nef, .ods, .odt, .org, .p, .pages, .pas, .pcd, .pdf, .pdn, .php, .php3, .php4, .php5, .phps, .phpt, .phtml, .pkg, .pl, .pm, .pmx, .png, .pot, .potm, .potx, .pp, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prproj, .ps, .ps1, .psd, .psm1, .ptx, .pwi, .py, .pyc, .pyw, .r, .raf, .rar, .raw, .rb, .rbw, .rc, .reg, .resx, .rpm, .rss, .rtf, .rw2, .s, .scpt, .sh, .sh, .shtml, .sitx, .sldm, .sldx, .sln, .splus, .sql, .sqlite, .sqlite3, .src, .swift, .sxc, .tar, .tar.gz, .tga, .thmx, .tif, .tiff, .ts, .tsv, .tsx, .txt, .vb, .vbs, .vcxproj, .veg, .wmw, .wpd, .wps, .xcodeproj, .xht, .xhtm, .xhtml, .xlam, .xls, .xlsb, .xlsm, .xlsx, .xltm, .xltx, .xml, .zip, .zipx (191 расширение без дублей). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
\TrueCrypter\ - папка
background.jpg
Encrypted.dat
TrueCrypter.exe
TrueCrypter.xml

Расположения:
%AppData%\Microsoft\TrueCrypter\
%AppData%\Microsoft\TrueCrypter\background.jpg
%AppData%\Microsoft\TrueCrypter\Encrypted.dat
%AppData%\Microsoft\TrueCrypter\TrueCrypter.exe
%AppData%\Microsoft\TrueCrypter\TrueCrypter.xml

Записи реестра, связанные с этим Ransomware:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\TrueCrypter    %AppData%\Microsoft\TrueCrypter\TrueCrypter.exe
См. ниже результаты анализов.

Сетевые подключения и связи:
art.apis.google.com/chart?***
forumforastral.com/innocentuser001***
https://bitcoin.org/en/getting-started***
mazon.com/gp/product/B004LLIKVU***
oftkce5g4gyza.onion.gq***
trueransom@mail2tor.com***
xxxx://4ggxntohlejkutst.onion.gq/
xxxx://chart.apis.google.com/chart?***
xxxx://forumforastral.com/innocentuser001***
xxxx://m2coftkce5g4gyza.onion.gq (94.102.53.178:80 Нидерланды)
xxxx://m2coftkce5g4gyza.onion.gq/
xxxx://onion.gq/
xxxx://qtrudrukmurps7tc.onion.gq/
xxxx://tzsvejrzduo52siy.onion.gq/
xxxxs://ask.fm/innocentask001***
Email: trueransom@mail2tor.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Дешифрование

 Попавший к исследователям образец крипто-вымогателя, начинал дешифровку файлов после нажатия на кнопки ">" и "Pay". Пробуйте. 

Внимание! 
Файлы можно дешифровать!
Читайте инструкцию по дешифровке >>

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as TrueCrypter)
 Write-up, Topic of Support
 * 

 Thanks: 
 Jakub Kroustek
 Lawrence Abrams
 Michael Gillespie
 MalwareHunterTeam
 

© Amigo-A (Andrew Ivanov): All blog articles.