UIWIX

UIWIX Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в ~0,122 BTC, чтобы вернуть файлы. Оригинальное название.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: Crypton > X3M, Nemesis > UIWIX

Родство подтверждено сервисом IntezerAnalyze >>

К зашифрованным файлам добавляется составное расширение по шаблону ._<id>.UIWIX

На момент исследования в ID входили 10 цифр. потому шаблон расширения можно записать как ._[10_digit_victim_id].UIWIX
Пример зашифрованного файла: image001.jpg._1441251728.UIWIX

Активность этого крипто-вымогателя пришлась на начало мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: _DECODE_FILES.txt

Содержание записки о выкупе:
>>> ALL YOUR PERSONAL FILES ARE DECODED <<<
Your personal code: *****
To decrypt your files, you need to buy special software.
Do not attempt to decode or modify files, it may be broken.
To restore data, follow the instructions!
You can learn more at this site:
xxxxs://4ujngbdqqm6t2c53.onion.to
xxxxs://4ujngbdqqm6t2c53.onion.cab
xxxxs://4ujngbdqqm6t2c53.onion.nu
If a resource is unavailable for a long time to install and use the tor browser.
After you start the Tor browser you need to open this link xxxx://4ujngbdqqm6t2c53.onion

Перевод записки на русский язык:
>>> ВСЕ ВАШИ ЛИЧНЫЕ ФАЙЛЫ ДЕКОДИРОВАНЫ <<<
Ваш персональный код: *****
Для расшифровки ваших файлов вам надо приобрести специальную программу.
Не пытайтесь декодировать или модифицировать файлы, это может навредить.
Для восстановления данных следуйте инструкциям!
Вы можете узнать больше на этом сайте:
xxxxs://4ujngbdqqm6t2c53.onion.to
xxxxs://4ujngbdqqm6t2c53.onion.cab
xxxxs://4ujngbdqqm6t2c53.onion.nu
Если ресурс недоступен долгое время установите и используйте Tor-браузер.
После запуска Tor-браузера вам надо открыть эту ссылку xxxx://4ujngbdqqm6t2c53.onion

Tor-сайт вымогателей (до и после ввода данных)

Содержание текста с сайта:
To get the program to decrypt files You need to pay: 0.12261 BTC (~200$)
How to pay?
B bitcoin
1. You should click Here to find out how to sign up for a Bitcoin wallet.
2. Buying Bitcoin is getting simpler every day, See the below for ways to buy Bitcoin:
• coincafe.com - Recommended for fast, simple service.
Payment methods: Western Union, Bank of America, Cash by FedEx, Moneygram, Money Order
• btcdirect.eu - The best place for Europe
• other - Or any other convenient for you service
3. Send 0.12261 BTC to Bitcoin address: 17cykEkQpskcvCoPjP3C6PzCeWPRmnjHi2
4. Ensure your payment information and then Click 'Check Payment'
[Check Payment]

Рекомендации по предотвращению угрозы

Рекомендации по предотвращению угрозы аналогичным тем, что в статье о WanaCrypt0r 2.0 Ransomware.

Технические подробности

Распространяется с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов (использует EternalBlue SMB Exploit), веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

➤ UIWIX выполняется в памяти после использования эксплойта EternalBlue. При обнаружении виртуальной машины (Vmware, VirtualBox, Virtual PC и др.) или песочницы (Sunbelt Sandbox, Sandboxie, Cuckoo Sandbox) прекращает свое выполнение. Также прекращает работу, если IP компьютера принадлежит России, Беларуси или Казахстану. Имеет функционал сбора учетных данных из браузера, из FTP, email и мессенджеров.

➤ Для каждой жертвы указывается новый Bitcoin-кошелёк.

➤ Используется функционал утилиты RMS от TektonIT и утилита LiteManager для удаленного управления компьютерами. Подтверждено сервисом IntezerAnalyze (ссылка). 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_DECODE_FILES.txt
<random>.exe
mini-tor.dll

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
***07.super5566.com*** - C&C-сервер
***aa1.super5566.com*** - C&C-сервер
xxxxs://4ujngbdqqm6t2c53.onion.to
xxxxs://4ujngbdqqm6t2c53.onion.cab
xxxxs://4ujngbdqqm6t2c53.onion.nu
xxxx://4ujngbdqqm6t2c53.onion.to
xxxx://4ujngbdqqm6t2c53.onion.cab
xxxx://4ujngbdqqm6t2c53.onion
xxxxs://netcologne.dl.sourceforge.net/project/cyqlite/3.8.5/sqlite-dll-win32-x86-3080500.zip
xxxx://sqlite.org/2014/sqlite-dll-win32-x86-3080500.zip
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Intezer анализ >>

Степень распространённости: низкая или средняя.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as UIWIX)
 Microsoft Security Bulletin MS17-010 - Critical

Added later:
Topic of support (add. May 10, 2017)
Write-up on TrendMicro (add. May 17, 2017)
Write-up on BC (add. May 18, 2017)
Video Review

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.