Если вы не видите здесь изображений, то используйте VPN.

вторник, 21 марта 2017 г.

Help50

Help50 Ransomware

Dat Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью логической операции OR, а затем указывает только email для связи. Оригинальное название: нигде не было указано. Поэтому для названия статьи и вымогателя был использован логин из почты вымогателей. 

© Генеалогия: выясняется.
Это изображение логотип статьи

К зашифрованным файлам добавляется расширение .dat

Активность этого крипто-вымогателя пришлась на конец марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: DECRYPT_FILES.txt

Содержание записки о выкупе:
help50@yandex.ru

!!! Файлы в этом образце были зашифрованы порциями по 8 Мб и безвозвратно повреждены, из-за использования необратимой логической операции OR. Уплата выкупа бесполезна!!!

!!! В новых образцах шифратора возможна расшифровка силами специалистов.
Смотрите ссылки на форум под статьей в блоке =БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS=

Технические детали

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Наиболее известным распространением, о которым сообщают пострадавшие, является фальшивое обновление для программы RedirectGen.exe, которое устанавливает шифровальщик. Этот файл представлен на анализ в апреле 2017 г. (ссылка). На VirusTotal представлен полный пакет, используемый для распространения через обновлений этого шифровальщика (ссылка). Смотрите там в разделе "Сведения о файле" файл Project1.exe и его отдельный анализ

Второй известный способ распространения через программу PR Manager VKНа VirusTotal представлен полный пакет, используемый для распространения через обновлений этого шифровальщика (ссылка). Смотрите там в разделе "Сведения о файле" файл Project1.exe и его отдельный анализ

Список файловых расширений, подвергающихся шифрованию:
.1cd, .3gp, .7z , .ac3, .ape, .avi, .bmp, .cdr, .cer, .dbf, .divx, .djvu, .doc, .docx, .dwg, .flac, .flv, .gif, .gzip, .htm, .html, .ifo, .jpeg, .jpg, .kwm, .m2v, .max, .md, .mdb, .mdf, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .p12, .pdf, .pfx, .png, .ppt, .pptx, .psd, .pwm, .rar, .tar, .txt, .vob, .wav, .wma, .wmv, .xls, .xlsx (54 расширения) + .zip в версии от 12.12.2017 (итого 55 расширений). 

Это документы MS Office, PDF, текстовые файлы, базы данных, фото и другие изображения, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
setup.exe или Setup.exe
project1.exe или Project1.exe
DECRYPT_FILES.txt или DecryptFiles.txt
RedirectGen.exe
redirectgen.exe
Qt5Core.dll
%WINDIR%\SYSTEM32\sechost.dll
%WINDIR%\system32\MSVCP100.dll

%WINDIR%\system32\MSVCR100.dll
%PROGRAMFILES%\Wireshark\Qt5Core.dll

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: help50@yandex.ru
Satana@mail.ru
URL: xxxx://bitsatan.do.am/other/RedirectGen.txt

xxxx://server64.blogspot.com/p/blog-page_4.html
См. ниже результаты анализов.

Результаты анализов:
Hybrid анализ >> HA>>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Предистория:
Информация от 15 октября 2016:
Email: Satana@mail.ru, bitSatana@mail.ru
Адреса URL из uCoz, участвовавшие в распространении вируса: 
xxxx://disembark502.clan.su/ 
xxxx://justness.clan.su/
xxxx://cashlink.do.am/
xxxx://www.sound30.usite.pro/
xxxx://kazesynelj.do.am/
Файл вредоносного проекта: D:\Projects\WinRAR\SFX\build\sfxrar32\Release\sfxrar.pdb
Файл вредоносного проекта: D:\CFILES\Projects\WinSSL\openssl-1.0.2h\out32dll\ssleay32.pdb

Файл EXE: RedirectGen.exe
Результаты анализов: HA + VT

Обновление от 30 ноября 2017:
Записка: DECRYPT_FILES.txt
Email: help50@yandex.ru
Шифрование: AES-128
Файлы можно дешифровать! 
Шифрование AES-128, выполняется со статичным ключом, который генерируется случайным образом (разный ключ при каждом запуске), потом накрывается шифром RSA-2048 и затем помещается в конец файла. Пока нет изменений в работе шифровальщика, то имея пару файлов зашифрованный и незашифрованный, можно подобрать ключ дешифрования. 
---

Обновление от 12 декабря 2017:
В список расширений добавились файлы с расширением .zip
Ключ шифрования генерируется иначе и он разный для каждого файла. Дешифрование файлов без RSA-ключа теперь практически невозможно.  

Обновление от 2 марта 2018:
Вымогатели теперь используют алгоритм RSA для шифрования файлов. 
Прежний способ дешифровки не будет работать. 

Обновление от 15 июня 2018:
Расширение: .dat
Email: blackmagic8@yandex.com
Записка: DecryptFiles.txt
➤ Содержание записки: 
blackmagic8@yandex.com
Топик на форуме >>




=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Это непросто, но в некоторых случаях возможно.
Обращайтесь по ссылке к консультанту thyrex
Создайте там новую тему "Help50 зашифровал файлы".
 Read to links: 
 Topic on Cyberforum.ru
 ID Ransomware (ID as Help50)
 Write-up, Topic
 * 
 Thanks: 
 Thyrex, Michael Gillespie
 Andrew Ivanov
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.


шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *