MarsJoke, Runner, Polyglot

MarsJoke Ransomware

Aliases: JokeFromMars, Runner, Polyglot 

  Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (в режиме ECB), а потом требует выкуп в 0,7 или 1,1 биткоина, чтобы вернуть файлы. Оригинальное название: Runner. Примечательно, что ни одна (!) антивирусная компания не упомянула его в своих отчетах. 

---

Обнаружения: 

DrWeb -> Trojan.Encoder.5704

ALYac -> Trojan.Ransom.Filecoder

BitDefender -> Trojan.Mikey.DD2C1

ESET-NOD32 -> A Variant Of Win32/Filecoder.NHO

Kaspersky -> Trojan-Ransom.Win32.Polyglot.a

Kingsoft -> Win32.Troj.Generic_a.a.(kcloud)

Malwarebytes -> Generic.Malware/Suspicious

Microsoft -> Ransom:Win32/Polyglot.A

Qihoo-360 -> Win32/Ransom.Generic.HwkA1BgB

Rising -> Ransom.Polyglot!8.DD61 (CLOUD)

Symantec -> Ransom.MarsJoke

Tencent -> Win32.Trojan.Polyglot.Gbs

TrendMicro -> Ransom_JOKEMARS.A

---

© Генеалогия: более ранние варианты >> MarsJoke (Runner, Polyglot)

История названия 
1) Название JokeFromMars получил от мьютекса (строки в исходном коде) "HelloWorldItsJokeFromMars", найденного в образцах вредоноса. Фразу из мьютекса можно перевести так: "Привет, народ, это шутка от Марса". Марс или Марсель - это имя, популярное в разных странах, в их числе Италия, Франция и Россия (среди татарского населения). Позже в ID Ransomware закрепилось международное название: MarsJoke. 

2) Другие название: фальшивый CTB-Locker, Zip-Locker или Polyglot. 

3) Антивирусные компании любят давать исследованным вредоносам свои псевдо-словарные названия, отчего возникает неразбериха. Так аналитики ЛК дали этому шифровальщику название Polyglot (Trojan-Ransom.Win32.Polyglot.a), хотя есть как минимум ещё три крипто-вымогателя с похожим многоязычным интерфейсом, среди которых данный "полиглот" в меньшей степени. К тому же в ЛК написали статью гораздо позже первых исследователей, когда в мире уже устоялись и JokeFromMars, и MarsJoke, и моя статья была опубликована (см. дату). Потому я лишь добавил в конце своей статьи небольшой абзац из статьи ЛК о шифровании и ссылку на их декриптор. 

   Данный крипто-вымогатель впервые был обнаружен в конце августа 2016 г., но лишь в третьей декаде сентября дал о себе знать активным распространением в спам-кампаниях. Целями, главным образом, являются государственные учреждения, государственные органы местного самоуправдения и образовательные учреждения в США. Гораздо меньше были затронуты учреждения здравоохранения, телекоммуникации, страхование, производство и пр. 

После запуска жертвой заражённого файла как бы ничего не происходит, но в это время вредонос копируется под случайными именами в несколько мест в системе, прописывается в Автозапуск, а также в TaskScheduler. После установки начинается шифрование файлов. 

Внешне зашифрованные пользовательские файлы не меняются, но открыть их не получится. Содержимое шифруемых файлов сначала упаковывается в ZIP-архив, а затем шифруется AES-256. 

К шифруемым файлам добавляется расширение .a19 или .ap19 на момент шифрования файлов, а по окончании шифрования специальное расширение убирается, чтобы запутать пострадавших. 

Буквально так:
file_name.jpg > file_name.a19 или picture.ap19 > file_name.jpg

Пример смены расширения в процессе шифрования

По неизвестным причинам иногда расширения .a19, .ap19 у зашифрованных файлов всё же остаются. 

Записки с требованием выкупа называются: 
ReadMeFilesDecrypt!!!.txt
!!! For Decrypt !!!.bat
!!! Readme For Decrypt !!!.txt

Они размещаются в самых разных местах, например, в этих:

Кроме них с целью информирования жертвы и подведения её к уплате выкупа вымогателями используются скринлок, встающий обоями рабочего стола и блокировщик экрана с кнопками управления.

Содержание записки о выкупе:
Your personal files are encrypted !!!
Your documents, photos, databases and other important files have been encrypted with strongest encryption algorithm AES-256 and unique key, generated for this computer. 
Private decryption key is stored on a secret Internet server and nobody can decrypt your files until you pay and obtain the decryption key. 
If you see the main locker window follow the instructions on the locker. Otherwise, it's seems that you or you antivirus deleted the locker program. Now you have the last chance to decrypt your files. 
Open site http://rd7v7mhidgrulwqg.onion.link or http://rd7v7mhidgrulwqg.torlink.co or http://rd7v7mhidgrulwqg.onion.to in your browser. They are public gates to the secret server. 
If you have problems with gates, use direct connection: 
1.Download Tor Browser from http://torproject.org/ 
2.In the Tor Browser open the rd7v7mhidgrulwqg.onion
Note that this server is available via Tor Browser only. Retry in 1 hour if site is not reachable. 
3.Copy and paste the following public key in the input form on server. Avoid misprints. 
7B4E8A-A0C141-43B58C-674143-269A32-E0WPXP
BYKCAY-BZBYNW-BYKCAY-CZCLEN-NPMPMW-PNXSEM
0F065F-78F599-78E59C-4FBC7E-3423D5-1A9390
4.Follow the instructions on the server. 
These instructions are also saved to the file named ReadMeFilesDecrypt!!!.txt in Documents folder. You can open it and use copy-paste for address and key.

Перевод записки на русский язык:
Ваши личные файлы зашифрованы !!!
Ваши документы, фото, базы данных и другие важные файлы зашифрованы с сильным алгоритмом шифрования AES-256 и уникальным ключом, сохданным для этого компьютера.
Секретный ключ дешифрования хранится на секретном интернет-сервере и никто не дешифрует файлы, пока не платите и получите ключ дешифрования.
Если вы видите главное окно локера, следуйте инструкциям на локере. Иначе, может вы или антивирус удалили программу локера. Теперь у вас есть последний шанс, чтобы дешифровать файлы.
Откройте хттп://rd7v7mhidgrulwqg.onion.link или хттп: //rd7v7mhidgrulwqg.torlink.co или хттп: //rd7v7mhidgrulwqg.onion.to в вашем браузере. Они открывают путь на секретный сервер.
Если есть проблемы с открытием, используйте прямое подключение:
1. Загрузите Tor-браузер из хттп: //torproject.org/
2. В Tor-браузере откройте rd7v7mhidgrulwqg.onion
Заметьте, этот сервер доступен только в Tor-браузер. Пробуйте через 1 час, если сайт недоступен.
3. Копируйте и вставьте следующий открытый ключ в форме ввода на сервере. Избегайте опечаток.
7B4E8A-A0C141-43B58C-674143-269A32-E0WPXP
BYKCAY-BZBYNW-BYKCAY-CZCLEN-NPMPMW-PNXSEM
0F065F-78F599-78E59C-4FBC7E-3423D5-1A9390
4. Следуйте инструкциям на сервере.
Эти инструкции также сохраняются в файл с именем ReadMeFilesDecrypt !!!. TXT в папке Документы. Вы можете открыть его и оттуда копировать-вставить адрес и ключ.

Кроме того, что рисунок рабочего стола изменяется, появляется еще экран бокировки с требованием выкупа. Он доступен на нескольких языках (английском, русском, итальянском, испанском и украинском). Пострадавшим даётся 96 часов на уплату выкупа, после чего файлы будут удалены.

Блокировщик экрана поверх скринлока, вставшего обоями

Пострадавший, перешедший на Tor-сайт, должен вставить ключ в форме ввода на сайте, чтобы открыть нужную информацию по уплате выкупа. 

Лишь потом откроется следующее окно, в котором есть кнопки-флажки для переключения с английского языка на русский и итальянский. 

Распространяется с помощью email-спама и вредоносных exe-вложений, ссылок на зараженные архивы и сайты, с помощью фальшивых обновлений, перепакованных и заражённых инсталляторов. Поставщиками шифровальщика могут выступать ботнеты, например, Kelihos (Waledac).

Что касается графического исполнения, этот крипто-вымогатель во всем подражает другому известному шифровальщику CTB-Locker, но общего кода у них не найдено. Но разработчики сделали всё так, чтобы внешне работа их детища выглядела как результат атаки CTB-Locker, а пользователи реально испугались и погуглив потеряли всякую надежду на бесплатное восстановление своих файлов.

Список файловых расширений, подвергающихся шифрованию:
.7z, .backup, .backupdb, .doc, .docx, .dotm, .jpeg, .jpg, .mpg, .pdf, .ppt, .psd, .rar, .txt, .xlm, .zip (16 расширений). 

Файлы, связанные с MarsJoke Ransomware:
sysmonitor.exe - исполняемый файл вымогателя
ReadMeFilesDecrypt!!!.txt
!!! For Decrypt !!!.bat
!!! Readme For Decrypt !!!.txt
[All_first_level_directories]\!!! For Decrypt !!!.bat
[All_first_level_directories]\!!! Readme For Decrypt !!!.txt
%UserProfile%\My Documents\[Random_characters].bmp
%UserProfile%\My Documents\[Random_characters].exe
%UserProfile%\My Documents\My Music\[Random_characters].exe
%UserProfile%\Start Menu\Programs\Startup\[Random_characters].exe
%UserProfile%\Start Menu\Programs\Startup\x.vbs
%Users%\Public\Music\<Random_8_characters>.exe
%AllUsersProfile%\Documents\!!!ForDecrypt!!!.exe
%AllUsersProfile%\Documents\!!!ForDecrypt!!!.exe
%AllUsersProfile%\Documents\[Random_characters].exe
%AllUsersProfile%\Documents\My Music\[Random_characters].exe
%AllUsersProfile%\Documents\My Pictures\[Random_characters].exe
%AllUsersProfile%\Documents\My Videos\[Random_characters].exe
%AllUsersProfile%\Microsoft\Windows\Start Menu\Programs\Startup\<random_name_64_chars>.exe
%AllUsersProfile%\Microsoft\Windows\Start Menu\Programs\Startup\<random_name_8_chars>.exe

MarsJoke создает следующие записи в реестре, чтобы запускаться при каждом запуске Windows: 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"[Random_chars]" = "%AllUsersProfile%\Documents\My Music\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"[Random_chars]" = "%AllUsersProfile%\Documents\My Pictures\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"[Random_chars]" = "%AllUsersProfile%\Documents\My Videos\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"[Random_chars]" = "%AllUsersProfile%\Documents\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"[Random_chars]" = "%UserProfile%\My Documents\My Music\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"[Random_chars]" = "%UserProfile%\My Documents\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\"[Random_chars]" = "%AllUsersProfile%\Documents\My Music\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\"[Random_chars]" = "%AllUsersProfile%\Documents\My Pictures\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\"[Random_chars]" = "%AllUsersProfile%\Documents\My Videos\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\"[Random_chars]" = "%AllUsersProfile%\Documents\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\"[Random_chars]" = "%UserProfile%\My Documents\My Music\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\"[Random_chars]" = "%UserProfile%\My Documents\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\"Run" = "%UserProfile%\My Documents\[Random_chars].exe"

MarsJoke создает следующие записи реестра: 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\!!!ForDecrypt!!!.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\My Music"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\Start Menu\Programs\Startup\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\My Music\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\My Pictures"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\Start Menu\Programs\Startup\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\My Pictures\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\My Videos"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\Start Menu\Programs\Startup\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\My Videos\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\Start Menu\Programs\Startup\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%AllUsersProfile%\Documents\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\My Documents\My Music"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\Start Menu\Programs\Startup\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\My Documents\My Music\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\My Documents"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\Start Menu\Programs\Startup\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ThemeManager\Local\"[Random_chars]" = "%UserProfile%\My Documents\[Random_chars].exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\"Shell" = "explorer.exe,%UserProfile%\My Documents\[Random_chars].exe"

Сетевые подключения и связи:
103.198.0.2:80 (Сингапур)
54.225.210.40 (США)
jjuwnj2ejjmafg74.onion.link/n.php
jjuwnj2ejjmafg74.onion.nu/decrypter.exe
lj7qcktsne4nftzn.onion.link/index1.html
24fkxhnr3cdtvwmy.onion.link/
xiwayy2kn32bo3ko.onion.link/test/read.cgi/tor/1428194957/l50 
deepdot35wvmeyd5.onion.link/2015/02/
drec5tbop7q6uwvz.onion.link
kr36yggvf2kpps2k.onion.link
kauy4vb5tep6mhfc.onion.link
buxnfuoim27a3yvh.onion.link
rf2rnm5nbkxnkhua.onion.link

Обновление из статьи ЛК от 30 сентября:
Вредонос Polyglot зашифровывает файлы в три этапа, с созданием промежуточных файлов:
- сначала оригинальный файл помещается в запароленный zip-архив, созданный архив имеет имя оригинального файла, но расширение «a19»;
- созданный запароленный архив Polyglot зашифровывает алгоритмом AES-256-ECB, получившийся файл опять же имеет имя оригинального файла, но расширение на этот раз – «ap19»;
- далее зловред удаляет оригинальный файл и файл с расширением «a19», а расширение зашифрованного архива меняет с «ap19» на расширение оригинального файла.

Внимание! 

Для зашифрованных файлов есть декриптор

Скачать RannohDecryptor для Polyglot / JokeFromMars >>

VirusTotal анализ >>
Malwr анализ >>
Гибридный анализ >>
Symantec: Ransom.MarsJoke >>

Степень распространённости: средняя.
Подробные сведения собираются.

 Read to links:
 ID Ransomware
 Tweet on Twitter
 PCrisk blog
*

Added later: 
Proofpoint overview
Symantec Security Response

 Thanks:
 Darien Huss (Proofpoint)
 Michael Gillespie (aka Demonslay335)
 Tomas Meskauskas (PCrisk)
 Andrew Ivanov (article author)
 

© Amigo-A (Andrew Ivanov): All blog articles.