понедельник, 25 декабря 2017 г.

STOP

STOP Ransomware

STOP-Keypass Ransomware

STOP-Djvu Ransomware

(шифровальщик-вымогатель) (первоисточник)

Translation into English  Hot-STOP


STOP-Djvu variants: shadow, djvu, pdff, tro, tfude, rumba, adobe, blower, promos, promoz, promock, promok, promoks, promorad, kroput, charck, pulsar1, klope, kropun, charcl, doples, luces, luceq, chech, proden, tronas, trosak, grovas, grovat, roland, refols, raldug, etols, guvara, browec, norvas, moresa, verasto, hrosas, kiratos, todarius, hofos, roldat, dutan, sarut, fedasot, berost, forasom, fordan, codnat, bufas, dotmap, radman, ferosas, rectot, skymap, mogera, rezuc, stone, redmat, lanset, davda, pidon, poret, heroset, boston, myskle, muslat, gerosan, vesad, horon, neras, truke, dalle, lotep, nusar, litar, besub, cezor, lokas, godes, budak, vusad, herad, berosuce, gehad, gusau, madek, darus, tocue, lapoi, todar, dodoc, bopador, novasof, ntuseg, ndarod, access, format, nelasod, mogranos, cosakos, nvetud, lotej, kovasoh, prandel, zatrov, masok, brusaf, londec, krusop, mtogas, nasoh, coharos, nacro, pedro, nuksus, vesrato, cetori, masodas, stare, carote, shariz, gero, hese, xoza, seto, peta, moka, meds, kvag, domn, karl, nesa, boot, noos, kuub, mike, reco, bora, leto, nols, werd, coot, derp, nakw, meka, toec, mosk, lokf, peet, grod, mbed, kodg, zobm, rote, msop, hets, righ


STOP-Djvu subvariants: djvu*, *djvu, *djvu*, **djvu, djvu**, tfude*, adobe*, promo*, promo**, promorad*,  kropu*, kropun*, charc*, luce*, grova*, .codnat* 


   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (режим CFB) и, позже, с помощью других алгоритмов. [С сентября 2019 стал использоваться алгоритм RSA]. Шифруется не весь файл, а только около 0x500000 байт (~5 Мб) данных в начале каждого файла. Затем требует выкуп в $200-$600 в BTC, чтобы вернуть файлы. Оригинальное название: STOP. На файле написано: что попало. Среда разработки: C++ с компиляцией в MS Visual Studio 2013 (позже стала использоваться более новая версия Visual Studio 2017 или более новая). 
   Есть данные, что STOP Ransomware с вариантами распространяется из Украины. Как отвлекающий маневр злоумышленниками используется русский язык и русские слова, написанные английским буквами, также используются домены, зарегистрированные через российские компании-регистраторы. У вымогателей, вероятно, есть пособники в других странах. 
   Нет никаких громких сообщений от правоохранительных органов европейских стран, Европола и Интерпола, видимо они не получали никаких указаний для поиска и ареста вымогателей. Нет никакой надежды, что они когда-либо будут их искать, не получив указаний от руководства, или имеется очень мало обращений от пострадавших, чтобы инициировать расследование. Пишите онлайн-заявление в отдел "К" или полицию в своей стране и регионе. 

----------------------------------------------------------------------------------------------------------------------
Подробнее о шифровальщиках семейства STOP

➤ Специалисты Dr.Web расшифровали в частном порядке файлы, зашифрованные некоторыми вариантами этого Ransomware. Публичный дешифровщик Dr.Web не выпустили. 

➤ Специалист по шифровальщикам Майкл Джиллеспи (США) сумел создать свой дешифратор для некоторых версий и вариантов STOP (puma, djvu, pdff, tro, tfude, rumba и прочих), когда шифровальщик использует для шифрования оффлайн-ключ.  

➤ Прямые ссылки есть после статьи в разделе "БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS"

© Генеалогия: STOP > SUSPENDED > WAITING > PAUSA > CONTACTUS > DATASTOP > STOPDATA > KEYPASS > WHY > SAVEfiles > DATAWAIT > INFOWAIT > puma, pumax, pumas > shadow > djvu с вариантами и новыми версиями (pdff, tro, tfude с вариантами, rumba, adobe с вариантами, blower, promos с вариантами, kroput с вариантами, charck с вариантами, pilsar1, klope, doples, luces с вариантами, chech, proden, drume, tronas, trosak, grovas, grovat, roland, refols, raldug, etols, guvara, browec, norvas, moresa, verasto, hrosas, kiratos, todarius, hofos, roldat, dutan, sarut, fedasot, berost, forasom, fordan, codnat, codnat1, bufas, dotmap, radman, ferosas, rectot, skymap, mogera, rezuc, stone, redmat, lanset, davda, pidon, poret, heroset, boston, myskle, muslat, gerosan, vesad, horon, neras, truke, dalle, lotep, nusar, litar, besub, cezor, lokas, godes, budak, vusad, herad, berosuce, gehad, gusau, madek, darus, tocue, lapoi, todar, dodoc, bopador, novasof, ntuseg, ndarod, access, format, nelasod, mogranos, cosakos, nvetud, lotej, kovasoh, prandel, zatrov, masok, brusaf, londec, krusop, mtogas, nasoh, coharos, nacro, pedro, nuksus, vesrato, cetori, masodas, stare, carote, shariz) > gero, hese, xoza, seto, peta, moka, meds, kvag, domn, karl, nesa, boot, noos, kuub, mike, reco, bora, leto, nols, werd, coot, derp, nakw, meka, toec, mosk, lokf, peet, grod, mbed, kodg, zobm, rote, msop, hets, righ

!!! Новые варианты и способы расшифровки смотрите после основной статьи. 
!!! New variants and ways to decrypt, see after the article about the first variant of STOP Ransomware.

Разделение на группы и подгруппы / Division into groups and subgroups:

I. STOP group
STOP subgroup: STOP, .SUSPENDED, .WAITING, .PAUSA, .CONTACTUS, .DATASTOP, .STOPDATA
KEYPASS subgroup: .KEYPASS, .WHY, .SAVEfiles 
DATAWAIT subgroup: .DATAWAIT, .INFOWAIT 

II. Puma group: .puma, .pumax, .pumas, .shadow

III. Djvu group
Djvu-1 subgroup: .djvu, .djvuu, .udjvu, .djvuq, .uudjvu, .djvus, .djvur, .djvut, .djvup, .djvuu
Djvu-2 subgroup: .pdff, .tro, .tfude, .tfudeq, .tfudet, .rumba, .adobe, .adobee
Promo subgroup: .blower, .promos, .promoz, .promock, .promoks, .promorad, .promok, .promorad2, .kroput, .kroput1, .charck, .pulsar1, .kropun1, .klope, .kropun, .charcl, .doples, .luces, .luceq, .chech, .proden 
Drume subgroup: .drume, .tronas, .trosak, .grovas, grovat, roland, refols, raldug, .etols 
Guvara subgroup.guvara, .browec, .norvas, .moresa, .verasto, .hrosas, .kiratos, .todarius, .hofos, .roldat, .dutan, .sarut, .fedasot, .berost, .forasom, .fordan, .codnat, .codnat1, .bufas, .dotmap, .radman, .ferosas, .rectot, .skymap, .mogera, .rezuc, .stone, .redmat, .lanset, .davda, .pidon, .poret, .heroset, .boston, .myskle, .muslat, .gerosan, .vesad, .horon, .neras, .truke, .dalle, .lotep, .nusar, .litar, .besub, .cezor, .lokas, .godes, .budak, .vusad, .herad, .berosuce, .gehad, .gusau, .madek, .darus, .tocue, .lapoi, .todar, .dodoc, .bopador, .novasof, .ntuseg, .ndarod, .access, .format, .nelasod, .mogranos, .cosakos, .nvetud, .lotej, .kovasoh, .prandel, .zatrov, .masok, .brusaf, .londec, .krusop, .mtogas, .nasoh, .coharos, .nacro, .pedro, .nuksus, .vesrato, .cetori, .masodas, .stare, .carote, .shariz 

IV. Gero group (RSA)
Gero subgroup: .gero, .hese, .geno, .xoza, .seto, .peta, .moka, .meds, .kvag, .domn, .karl, .nesa, .boot, .noos, .kuub, .mike, .reco, .bora, .leto, .nols, .werd, .coot, .derp, .nakw, .meka, .toec, .mosk, .lokf, .peet, .grod, .mbed, .kodg, .zobm, .rote, .msop, .hets, .righ

----------------------------------------------------------------------------------------------------------------------
Обнаружения: 
DrWeb -> Trojan.Encoder.26314, Trojan.Encoder.26995, Trojan.Encoder.26996, Trojan.Encoder.27776, Trojan.Siggen8.5440, Trojan.Siggen8.16294, *.16299, *.20167, *.20394, *.21202, *.23665, *.26996, Trojan.MulDrop8.58033, *.58040, Trojan.DownLoader28.16, Trojan.PWS.Stealer.24943, Trojan.Faker.12 
BitDefender -> Gen:Heur.Ransom.RTH.1, Trojan.Ransom.Stop.A, DeepScan:Generic.Ransom.Stop.*, Trojan.GenericKD.31342714, *.31369885, *.31500621, *.31514824, *.31517950, *.31534187, *.31534080, *.31575808, .31691360, *.31787961, *.31789478, *.31806757, *.31809991, *.31822410, *.31823954, *.31838431, *.40765609, *.40841043, *.40878732, *.40887380, *.41139976, *.41149918, *.41197210, *.41257217, *.41271436, *.41638988
Kaspersky -> Trojan.Win32.Scar.rmry, Trojan.Win32.Scar.rsps, Trojan-PSW.Win32.Coins.nrc, *.pek, *.qvc, Trojan-Banker.Win32.Jimmy.brm, *.czf, Trojan.Win32.Agent.qwiwes, Trojan.Win32.Chapak.cyho
➤ Подробный список обнаружений см. в конце статьи. 
----------------------------------------------------------------------------------------------------------------------


Подробнее о первой версии шифровальщика

К зашифрованным файлам добавляется расширение .STOP

Ранняя активность этого крипто-вымогателя пришлась на вторую половину декабря 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Позже были разные варианты обновлений. 

Записка с требованием выкупа называется: !!!YourDataRestore!!!.txt

Содержание записки о выкупе:
All your important files were encrypted on this PC.
All files with .STOP extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.
To decrypt your files, you need to obtain private key + decrypt software.
To retrieve the private key and decrypt software, you need to contact us by email stopfilesrestore@bitmessage.ch send us an email your !!!YourDataRestore!!!.txt file and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600 if you contact us first 72 hours.
Your personal id:
PmBvvsAauRGDvmMnQdpOFAOyCn5YUsaAducxxxxx
E-mail address to contact us:
stopfilesrestore@bitmessage.ch
Reserve email address to contact us:
stopfilesrestore@india.com

Перевод записки на русский язык:
Все ваши важные файлы были зашифрованы на этом ПК.
Все файлы с расширением .STOP зашифрованы.
Шифрование выполнено с уникальным секретным ключом RSA-1024, созданным для этого компьютера.
Чтобы расшифровать ваши файлы, вам нужно получить секретный ключ + программу дешифрования.
Чтобы получить секретный ключ и программу дешифрования, вам нужно связаться с нами по email stopfilesrestore@bitmessage.ch, пришлите нам d в вашем письме, пожалуйста, свой файл !!!YourDataRestore!!!.txt и дождитесь дальнейших инструкций.
Для вас, конечно, мы можем расшифровать ваши файлы - вы можете отправить нам 1-3 любых не очень больших зашифрованных файла, и мы отправим вам их обратно в оригинальной форме БЕСПЛАТНО.
Цена для дешифровки $600, если вы обратитесь к нам за 72 часа.
Ваш личный идентификатор:
PmBvvsAauRGDvmMnQdpOFAOyCn5YUsaAducxxxxx
Email-адрес для связи с нами:
stopfilesrestore@bitmessage.ch
Резервный email-адрес для связи с нами:
stopfilesrestore@india.com



Технические детали

   Многие свидетельства говорят, что он попадает на компьютер после скачивания и запуска перепакованных и заражённых инсталляторов популярных программ, пиратских активаторов MS Windows и MS Office (KMSAuto Net, KMSPico и пр.), которые злоумышленники распространяют через популярные сайты. Это касается как законно-бесплатных, так и незаконно-бесплатных программ (подробнее). 

Crackithub.com, kmspico10.com, crackhomes.com, piratepc.net — некрторые из сайтов-распространителей STOP Ransomware. Любая скачанная оттуда программа может быть заражена этим вымогателем. 

Примеры инфицированных программ и сайтов:
xxxxs://crackithub.com/adobe-acrobat-pro/
xxxxs://crackithub.com/easyworship-7-crack/
xxxxs://kmspico10.com/
xxxxs://kmspico10.com/office-2019-activator-kmspico/
xxxxs://piratepc.net/category/activators/
xxxxs://piratepc.net/startisback-full-cracked/

  Может также распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

 Вскоре после запуска исполняемый файл шифровальщика семейства STOP подключается к C&C, получает ключ шифрования и идентификатор заражения для ПК жертвы жертвы. Данные передаются по простому HTTP в виде JSON.

  Если C&C недоступен (ПК не подключен к Интернету, сам сервер не работает), то шифровальщик использует жёстко закодированные в нём самом ключ и идентификатор, и выполняет автономное шифрование. В этом случае можно будет дешифровать файлы без уплаты выкупа. 

  Используется алгоритм AES-256 в режиме CFB с нулевым IV и единым 32-байтным ключом для всех файлов. Шифруются максимум 0x500000 байт (~ 5 МБ) данных в начале каждого файла.

 Использует rdpclip.exe для замены легального файла Windows и для проведения атаки на компьютерную сеть. 
 В коде есть гены TeamViewer. 
➤ После шифрования файлов шифровальщик самоудаляется с помощью командного файла delself.bat

Список файловых расширений, подвергающихся шифрованию:
Все или почти все популярные форматы. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы, файлы прикладных программ и пр.

Файлы, связанные с этим Ransomware:
!!!YourDataRestore!!!.txt
rdpclip.exe
delself.bat
<random>.exe
encrypt.pdb - файл проекта
PersonalID.txt - в более новых версиях

Расположения:
\Desktop\ ->
\User_folders\ ->
\Temp\delself.bat
C:\SystemID\PersonalID.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: stopfilesrestore@bitmessage.ch
stopfilesrestore@india.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: очень высокая и перспективно высокая.
Подробные сведения собираются регулярно.


Примечание 1. 
В мае 2018 года я обнаружил новый файл шифровальщика и загрузил его на сервисы для анализа. По всей видимости он был выпущен в марте 2018, но ранние версии относятся к декабрю 2017 года. 
Результаты анализов: VT + HA + IA + VMRay




=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===


=== 2018 ===

Обновление от 10 февраля 2018 / Update on February 10, 2018:
Расширение / Extension: .STOP
Записка / Ransom note: !!!YourDataRestore!!!.txt
Email: stopfilesrestore@bitmessage.ch и stopfilesrestore@india.com
Сумма выкупа: $600
BTC: PmBvvsAauRGDvmMnQdpOFAOyCn5YUsaAducdELub

Сравнение идентификаторов обоих версий

----------

Обновление от 22 февраля 2018 / Update on February 22, 2018:
Топик на форуме / Topic on forum >>
Расширение / Extension: .SUSPENDED
Email: suspendedfiles@bitmessage.ch и suspendedfiles@india.com
Сумма выкупа / Sum of ransom: $600
Записка / Ransom note!!!RestoreProcess!!!.txt
➤ Содержание записки / Contents of note
All your important files were encrypted on this PC.
All files with .SUSPENDED extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.
To decrypt your files, you need to obtain private key + decrypt software.
To retrieve the private key and decrypt software, you need to contact us by email suspendedfiles@bitmessage.ch send us an email your !!!RestoreProcess!!!.txt file and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600 if you contact us first 72 hours.
Your personal id:
5QDwX38ApBptxAvLONsohcyWyDsZhoeW15Gxxxxx
E-mail address to contact us:
suspendedfiles@bitmessage.ch
Reserve email address to contact us:
suspendedfiles@india.com
----------

Обновление от 18 апреля 2018 / Update on April 18, 2018:
Топик на форуме >> 
Пост пострадавшего >>
Расширение / Extension: .WAITING
Email: waiting@bitmessage.ch и waiting@india.com
Сумма выкупа / Sum of ransom: $600
Записка / Ransom note: !!!INFO_RESTORE!!!.txt

➤ Содержание записки / Contents of note
All your important files were encrypted on this PC.
All files with .WAITING extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.
To decrypt your files, you need to obtain private key + decrypt software.
To retrieve the private key and decrypt software, you need to contact us by email waiting@bitmessage.ch send us an email your !!!INFO_RESTORE!!!.txt file and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600 if you contact us first 72 hours.
Your personal id:
8AphcBpFgAZhoeW8ApBpBptxAW8FgAeWFgHxxxxx
E-mail address to contact us:
waiting@bitmessage.ch
Reserve email address to contact us:
waiting@india.com
----------

Обновление от 5 мая 2018 / Update on May 5, 2018
Пост в Твиттере / Tweet >>
Расширение / Extension: .PAUSA
Email: pausa@bitmessage.ch, pausa@india.com
Сумма выкупа / Sum of ransom: $600
Записка / Ransom note: !!RESTORE!!!.txt
➤ Содержание записки / Contents of note
All your important files were encrypted on this PC.
All files with .PAUSA extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.
To decrypt your files, you need to obtain private key + decrypt software.
To retrieve the private key and decrypt software, you need to contact us by email pausa@bitmessage.ch send us an email your !!!RESTORE!!!.txt file and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600 if you contact us first 72 hours.
Your personal id:
22rZV3sUi30y8SUhF1xB1hWqtGsYyUBiFInxxxxx [40 chars]
E-mail address to contact us:
pausa@bitmessage.ch
Reserve e-mail address to contact us:
pausa@india.com
----------

Обновление от 30 мая 2018 / Update on May 30, 2018
Пост в Твиттере / Tweet >>
Расширение / Extension: .CONTACTUS
Email-1: decryption@bitmessage.ch
Email-2: decryption@india.com
Сумма выкупа / Sum of ransom: $600
Записка / Ransom-note: !!!!RESTORE_FILES!!!.txt
➤ Содержание записки / Contents of note:All your important files were encrypted on this PC.
All files with .CONTACTUS extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.
To decrypt your files, you need to obtain private key + decrypt software.
To retrieve the private key and decrypt software, you need to CONTACTUS us by email decryption@bitmessage.ch send us an email your !!!RESTORE_FILES!!!.txt file and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600 if you contact us first 72 hours.
Your personal id:
223sUUrZi3SV1x0y8hsYyUFBqtI1hWnBiFGxxxxx [40 chars]
E-mail address to contact us:
decryption@bitmessage.ch
Reserve e-mail address to contact us:
decryption@india.com
----------


Обновление от 18 июля 2018:
Пост в Твиттере >>
Расширение: .DATASTOP
Записка: !!!DATA_RESTORE!!!.txt
Email-1: decryptiondata@bitmessage.ch
Email-2: decryptiondata@india.com
➤ Содержание записки / Contents of note:
All your important files were encrypted on this PC.
All files with .DATASTOP extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.
To decrypt your files, you need to obtain private key + decrypt software.
To retrieve the private key and decrypt software, you need to contact us by email decryptiondata@bitmessage.ch send us an email your !!!DATA_RESTORE!!!.txt file and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Your personal id:
***** [40 alphanum]
E-mail address to contact us:
decryptiondata@bitmessage.ch
Reserve e-mail address to contact us:
decryptiondata@india.com
---
*[40 alphanum]  — комбинация букв и чисел (алфавит-цифры, буквы-цифры), например: DYByph8YTcW5SRcFDZ4GQdBfG5aOLNF9mFFLgm5R


Обновление от 22 июля 2018:
Расширение: .STOPDATA
Записка: !!!RESTORE_DATA!!!.txt
Email: datadecryption@bitmessage.ch, datadecryption@india.com
➤ Содержание записки / Contents of note:
All your important files were encrypted on this PC.
All files with .STOPDATA extension are encrypted.
Encryption was produced using unique private key RSA-1024 generated for this computer.
To decrypt your files, you need to obtain private key + decrypt software.
To retrieve the private key and decrypt software, you need to contact us by email datadecryption@bitmessage.ch send us an email your !!!RESTORE_DATA!!!.txt file and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $200 if you contact us first 72 hours.
Your personal id:
pSRcFGQdBDYBZfaO5DLNLgmF9mFF5Rh84GyYTcW5
E-mail address to contact us:
datadecryption@bitmessage.ch
Reserve e-mail address to contact us:
datadecryption@india.com



Обновление от 9 августа 2018:
Пост в Твиттере >>
Расширение: .KEYPASS
Записка: !!!KEYPASS_DECRYPTION_INFO!!!.txt
Email: keypass@bitmessage.ch, keypass@india.com
По данным сервиса ID Ransomware есть пострадавшие из 25 стран: Бразилия, Чили, Вьетнам, США, ОАЭ, Египет, Алжир, Индонезия, Индия, Иран, Польша, Беларусь, Украина и другие.  



➤ Содержание записки / Contents of note:
Attention! 
All your files, documents, photos, databases and other important files are encrypted and have the extension: .KEYPASS
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail keypass@bitmessage.ch send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $300. 
This price avaliable if you contact us first 72 hours.
E-mail address to contact us:
keypass@bitmessage.ch
Reserve e-mail address to contact us:
keypass@india.com
Your personal id:
[redacted 40 alphanum]
---
*[40 alphanum]  — комбинация букв и чисел (алфавит-цифры, буквы-цифры), например: DYByph8YTcW5SRcFDZ4GQdBfG5aOLNF9mFFLgm5R
Результаты анализов: VT + HA + IA + VMRay
Статьи по этой версии: BCSL

Некоторые антивирусные компании и отдельные исследователи заявили, что это "новый" Ransomware. На самом деле это ложь и PR (самопиар), либо заблуждение. Они не отслеживали с декабря прошлого года распространение вредоносов этого семейства Ransomware, а у нас здесь полная выкладка по версиям. 
На скриншотах из Intezer-анализа видно, что в коде варианта STOP-KEYPASS тот же код, что и в изначальном Stop Ransomware, его самоназвание также, как у оригинального - Stop



Обновление от 23 августа 2018:
Пост в Твиттере >>
Тоже самое, только изменен email-адрес
Email: BM-2cUMY51WfNRG8jGrWcMzTASeUGX84yX741@bitmessage.ch
keypassdecrypt@india.com


Обновление от 21 августа 2018:
Пост в Твиттере >>
Расширение: .WHY
Email: decryptionwhy@india.com
BM-2cUm1HG5NFf9fYMhPzLhjoBdXqde26iBm2@bitmessage.ch
Записка: !!!WHY_MY_FILES_NOT_OPEN!!!.txt
➤ Содержание записки / Contents of note:
Attention!
All your files, documents, photos, databases and other important files are encrypted and have the extension: .WHY
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail BM-2cUm1HG5NFf9fYMhPzLhjoBdXqde26iBm2@bitmessage.ch send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $600.
This price avaliable if you contact us first 72 hours.
E-mail address to contact us:
BM-2cUm1HG5NFf9fYMhPzLhjoBdXqde26iBm2@bitmessage.ch
Reserve e-mail address to contact us:
decryptionwhy@india.com
Your personal id:
[redacted 40 alphanum]
Результаты анализов: VT

Обновление от 10 сентября 2018:
Расширение: .SAVEfiles
Записка: !!!SAVE_FILES_INFO!!!.txt

Email-1: BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Email-2: savefiles@india.com
URL: xxxx://xxxart.pp.ua (193.200.255.27, Украина)
➤ Содержание записки: 
WARNING!
Your files, photos, documents, databases and other important files are encrypted and have the extension: .SAVEfiles
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $500.
This price avaliable if you contact us first 72 hours.
E-mail address to contact us:
BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Reserve e-mail address to contact us:
savefiles@india.com
Your personal id:[redacted 40 mixed alphanum]
Файл: urpress.exe
Результаты анализов: HA + VT + IA
Подробности:
Эта слегка измененная версия STOP Ransomware теперь распространяется с помощью набора эксплойтов Fallout Exploit Kit, который является обновленной версией набора Nuclear Pack и продается на подпольных форумах. См. также статью на BleepingComputer.com

Обновление от 7 ноября 2018:
Пост в Твиттере >>
Пост на форуме >>
🎥 Видеообзор от CyberSecurity GrujaRS >>
Статус: Можно дешифровать файлы!
Расширение: .DATAWAIT
Email-1: BM-2cxonzj9ovn5qdx2MrwMK4j3qCquXBKo4h@bitmessage.ch
Email-2: savefiles@india.com
Записка: !readme.txt
➤ Содержание записки:
======================!ATTENTION PLEASE!======================
Your databases, files, photos, documents and other important files are encrypted and have the extension: .DATAWAIT
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail BM-2cxonzj9ovn5qdx2MrwMK4j3qCquXBKo4h@bitmessage.ch send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Discount 50% avaliable if you contact us first 72 hours.
E-mail address to contact us:
BM-2cxonzj9ovn5qdx2MrwMK4j3qCquXBKo4h@bitmessage.ch
Reserve e-mail address to contact us:
savefiles@india.com
Your personal id: 
***
Среда разработки: Visual Studio 2017
Оригинальный путь проекта: "C:\Users\w1nax\Documents\Visual Studio 2017\Projects\EncryptionWinAPI\Release\encrypt_win_api.pdb"
Результаты анализов: VT

Обновление от 18 ноября 2018:
Пост в на форуме >>
Статус: Можно дешифровать файлы!
Расширение: .INFOWAIT
Записка: !readme.txt
Email-1: BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Email-2: savefiles@india.com
Malicious URL-address
xxxx://jordan9908.ru
xxxx://intersys32.com
xxxx://paulmcnagets.ru
➤ Содержание записки:
======================!ATTENTION PLEASE!======================
Your databases, files, photos, documents and other important files are encrypted and have the extension: .INFOWAIT
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Price for decryption $290 if you contact us first 72 hours.
==============================================================
E-mail address to contact us:
BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Reserve e-mail address to contact us:
savefiles@india.com
Your personal id:
004pC14sUTfAHWBctu0HASCIEXPjudXuubBpVLBpAGD
Примечание: 
Прикидывается Windows-обновлением и использует ресурс TeamViewer.
Файл: update.exe
Результаты анализов: VT + HA + VMRay

Обновление от 22 ноября 2018:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .puma
Записка: !readme.txt
Email-1: pumarestore@india.com
Email-2: BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
URL: smallcore.ru
Результаты анализов: VT + HA + VB + IA + AR
➤ Содержание записки: 
====================!ATTENTION PLEASE!====================
Your databases, files, photos, documents and other important files are encrypted and have the extension: .puma
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail pumarestore@india.com send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Discount 50% avaliable if you contact us first 72 hours.
=====================================================
E-mail address to contact us:
pumarestore@india.com
Reserve e-mail address to contact us:
BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Your personal id:
***
---
Статус: Можно дешифровать файлы!
Для шифрования используется XOR. Поэтому для создания потока ключей и расшифровки необходимо иметь пару файлов (оригинальный файл и его зашифрованный вариант).

Обновление от 24 ноября 2018:
Пост на форуме >>
Пост в Твиттере >>
Пост на форуме (от 25 апреля 2019) >>
Расширение: .pumax
Записка: !readme.txt
Email-1: pumarestore@india.com
Email-2: BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Результаты анализов: VT + HA
 Содержание записки: 
====================!ATTENTION PLEASE!====================
Your databases, files, photos, documents and other important files are encrypted and have the extension: .pumax
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail pumarestore@india.com send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original 
form FREE.
Discount 50% avaliable if you contact us first 72 hours.
=====================================================
E-mail address to contact us:
pumarestore@india.com
Reserve e-mail address to contact us:
BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Your personal id:
***
---
Статус: Можно дешифровать файлы!
Для шифрования используется XOR. Поэтому для создания потока ключей и расшифровки необходимо иметь пару файлов (оригинальный файл и его зашифрованный вариант).

Обновление от 27 ноября 2018:
Пост в Твиттере >>
Расширение: .pumas
Записка: !readme.txt
Email-1: pumarestore@india.com
Email-2: BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Результаты анализов: ---
 Содержание записки: 
====================!ATTENTION PLEASE!====================
Your databases, files, photos, documents and other important files are encrypted and have the extension: .pumas
The only method of recovering files is to purchase an decrypt software and unique private key.
After purchase you will start decrypt software, enter your unique private key and it will decrypt all your data.
Only we can give you this key and only we can recover your files.
You need to contact us by e-mail pumarestore@india.com send us your personal ID and wait for further instructions.
For you to be sure, that we can decrypt your files - you can send us a 1-3 any not very big encrypted files and we will send you back it in a original form FREE.
Discount 50% avaliable if you contact us first 72 hours.
=====================================================
E-mail address to contact us:
pumarestore@india.com
Reserve e-mail address to contact us:
BM-2cXonzj9ovn5qdX2MrwMK4j3qCquXBKo4h@bitmessage.ch
Your personal id:
0082h9uE76Ax*****
---
Статус: Можно дешифровать файлы!
Для шифрования используется XOR. Поэтому для создания потока ключей и расшифровки необходимо иметь пару файлов (оригинальный файл и его зашифрованный вариант).

Обновление от 5 декабря 2018:
Топик на форуме >>
Расширение: .shadow
Записка: !readme.txt
Email-1: helpshadow@india.com
Email-2: helpshadow@firemail.cc
➤ Содержание записки:
----------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information
Don't try to use third-party decrypt tools because it will destroy your files.
Discount 50% available if you contact us first 72 hours.
---------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
helpshadow@india.com
Reserve e-mail address to contact us:
helpshadow@firemail.cc
Your personal ID:
012jxBsekmbsbW******


Обновление от 13 декабря 2018:
Топик на форуме >>
Расширение: .djvu
Это вариант может модифицировать файл hosts. 
Записка: _openme.txt
Email-1: helpshadow@india.com
Email-2: helpshadow@firemail.cc
➤ Содержание записки:
----------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information
Don't try to use third-party decrypt tools because it will destroy your files.
Discount 50% available if you contact us first 72 hours.
---------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
helpshadow@india.com
Reserve e-mail address to contact us:
helpshadow@firemail.cc
Your personal ID:
1shjkfG3kjf48j******
---
Статус: Можно дешифровать файлы!
Варианты Djvu используют Salsa20 с посоленным паролем. Поэтому атака, используемая в случае с вариантами STOP-Puma для извлечения ключей, уж не может быть проведена. Для дешифрования используется другой метод с использованием offline ID и ключа. Есть еще способ восстановления файлов, т.к. они зашифрованы не полностью, но мало шансов для пострадавших самим исправить кучу зашифрованных файлов. 


Обновление от 19 декабря 2018:
Пост на форуме >>
Расширение: .djvuu
Записка: _openme.txt
Email-1: restoredjvu@india.com
Email-2: restoredjvu@firemail.cc
➤ Содержание записки:
----------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can look online overview decrypt tool:
https://vimeo.com/306940477
Don't try to use third-party decrypt tools because it will destroy your files.
Discount 50% available if you contact us first 72 hours.
---------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
restoredjvu@india.com
Reserve e-mail address to contact us:
restoredjvu@firemail.cc
Your personal ID:
016OHhD5IvvfLF******

Видеоролик показа дешифрования: https://vimeo.com/306940477



Обновление от 23 декабря:
Расширение: .udjvu
Записка: _openme.txt

Обновление от 25 декабря:
Пост на форуме >>
Расширение: .uudjvu
Записка: _openme.txt
Email-1: restoredjvu@india.com
Email-2: restoredjvu@firemail.cc

Обновление от 27 декабря:
Пост на форуме >>
Расширение: .djvuq
Email-1: restoredjvu@india.com
Email-2: restoredjvu@firemail.cc
Записка: _openme.txt
➤ Содержание записки: 
----------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can look online overview decrypt tool:
https://vimeo.com/306940477
Don't try to use third-party decrypt tools because it will destroy your files.
Discount 50% available if you contact us first 72 hours.
---------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
restoredjvu@india.com
Reserve e-mail address to contact us:
restoredjvu@firemail.cc
Your personal ID:
019XEtg6TK9aEoH******
Результаты анализов: VT

Обновление от 30 декабря 2018: 
Пост на форуме >>
Пост на форуме >>
Расширение: .djvus 
Записка: _openme.txt
➤ Содержание записки: 
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can look online overview decrypt tool:
https://vimeo.com/306940477
Don't try to use third-party decrypt tools because it will destroy your files.
Discount 50% available if you contact us first 72 hours.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
restoredjvu@india.com
Reserve e-mail address to contact us:
restoredjvu@firemail.cc
Your personal ID:
020d3aVs3450IfsRu******


=== 2019 ===

Обновление от 4 января 2019: 
Расширение: .djvur
Записка: _openme.txt
Сумма выкупа: ~500$ в BTC
Email: restoredjvu@india.com
restoredjvu@firemail.cc
 Содержание записки: 
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 

Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can look online overview decrypt tool:
https://vimeo.com/309338421
Don't try to use third-party decrypt tools because it will destroy your files.
Discount 50% available if you contact us first 72 hours.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
restoredjvu@india.com
Reserve e-mail address to contact us:
restoredjvu@firemail.cc
Your personal ID:
021kXpx7rPU5cXE2lpqa******


Обновление от 7 января 2019: 
Расширение: .djvut
Записка: _openme.txt
Email: restoredjvu@india.com
restoredjvu@firemail.cc
Содержание записки, как и прежде. 

Обновление от 9 января 2019: 
Расширение: .djvup
Записка: _openme.txt
Email: restoredjvu@india.com
restoredjvu@firemail.cc
Содержание записки, как и прежде. 

Обновление от 10 января 2019 - это уже было 13 декабря 2018:
Расширение: .djvu
Записка: _openme.txt
Email-1: helpshadow@india.com
Email-2: helpshadow@firemail.cc
Содержание записки, как и прежде. 


Обновление от 10 января 2019:
Пост в Твиттере >>
Расширение: .pdff
Записка: _openme.txt
Email: pdfhelp@india.com, pdfhelp@firemail.cc
Первые пострадавшие: Ближний Восток

 Содержание записки: 
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can download video overview decrypt tool:
https://www.sendspace.com/file/1sg7f3
Don't try to use third-party decrypt tools because it will destroy your files.
Discount 50% available if you contact us first 72 hours.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
pdfhelp@india.com
Reserve e-mail address to contact us:
pdfhelp@firemail.cc
Your personal ID:
***** [44 chars]




Обновление от 10 января 2019:
Пост в Твиттере >>
Расширение: .djvuq
Записка: _openme.txt
Результаты анализов: VT

Новые образцы STOP от 10 января 2019: 
Эти варианты могут модифицировать файл hosts.
VT + VT + VT + VT + VT
HA + HA + HA + HA + HA

Обновление от 11 января 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .tro
Это вариант может модифицировать файл hosts (подробное описание). 
Записка: _openme.txt
Email: pdfhelp@india.com, pdfhelp@firemail.cc
URL-malware: xxxx://morgem.ru/xxx/
Здесь /xxx/ - реальная директория сайта. 
Файл EXE: msoffice.exe
Результаты анализов: VT + VT
Статус: файлы можно дешифровать!

Обновление от 12 января 2019:
Пост в Твиттере >>
Расширение: .tfude
Записка: _openme.txt 
Email: pdfhelp@india.com, pdfhelp@firemail.cc
Первые пострадавшие из ЮАР. 
Статус: файлы можно дешифровать!

Обновление от 16-17 января 2019:
Расширение: .tfudeq
Расширение: .tfudet
Записка: _openme.txt 
Email: pdfhelp@india.com, pdfhelp@firemail.cc
Записки аналогичны предыдущему варианту. Добавлена другая ссылка на видео и цена в долларах. 
Результаты анализов (расширение .tfudet): VT + VT

Статус: файлы можно дешифровать! 

Обновление от 19 января 2019:
Пост на форуме >>
Расширение: .rumba
Email: pdfhelp@india.com, pdfhelp@firemail.cc
Пострадавшие из этих стран: Египет, Греция, Турция, Бразилия, Чили, Эквадор, Венесуэла, Германия, Польша, Украина, Венгрия, Индонезия, Таиланд, Южная Корея, Малайзия... и многие другие. 
Вероятно, распространяется как поддельное обновление Windows или со взломанными программами. 
Записка: _openme.txt 
 Содержание записки: 
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://files.danwin1210.me/uploads/01-2019/Decrypt%20Software%20Overview.avi
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" folder if you don't get answer more than 6 hours.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
pdfhelp@india.com
Reserve e-mail address to contact us:
pdfhelp@firemail.cc
Your personal ID:
027Ed2X2xVaP4r9QNbCsbfMv*******************
Результаты анализов: VT
Статус: файлы можно дешифровать!


Обновление от 23 января 2019:
Пост на форуме >>
Расширение: .adobe
Email: pdfhelp@india.com, pdfhelp@firemail.cc
Записка: _openme.txt 
 Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-wlvjUfRfvM
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" folder if you don't get answer more than 6 hours.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
pdfhelp@india.com
Reserve e-mail address to contact us:
pdfhelp@firemail.cc
Your personal ID:
028wCwvYIsdzCAQiWEKBLQLuGTfoN12iIWsEuSns***
---
Результаты анализов: VT
Статус: файлы можно дешифровать!

Обновление от 27 января 2019:
Пост в Твиттере >>
Расширение: .adobee
Email: pdfhelp@india.com, pdfhelp@firemail.cc
Записка: _openme.txt 


Обновление от 3 февраля 2019:
Мой пост в Твиттере >>
Пост на форуме >>  Пост на форуме >> 
Расширение: .blower
Email: blower@india.com, blower@firemail.cc
Записка: _readme.txt
 Содержание записки:
ATTENTION!
Don't worry my friend, you can return all your files!
All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-1aaC7npeV9
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam/' folder if you don't get answer more than 6 hours.
To get this software you need write on our e-mail:
blower@india.com
Reserve e-mail address to contact us:
blower@firemail.cc
Your personal ID:
030GHsgdfT7878YsY9gsafL***
---
URL malware: 
xxxx://rosalos.ug/
xxxx://belyi.ug/
xxxx://newbie.ug/
xxxx://rosalos.ug/xxx/1.exe
xxxx://rosalos.ug/xxx/2.exe
xxxx://rosalos.ug/xxx/3.exe
xxxx://rosalos.ug/xxx/updatewin.exe
xxxx://rosalos.ug/xxx/updatewin1.exe
xxxx://rosalos.ug/xxx/updatewin2.exe
xxxx://rosalos.ug/xxx/TYtuystydftusdfyuyUYT*****
Другие файлы EXE: 8651.tmp.exe, hehjrebu.exe, install.exe, vsruwcaw.exe
Результаты анализов: VT + VT + HA + VX + VT

Статус: файлы можно дешифровать!

Обновление от 20 февраля 2019:
Топик на форуме >>
Пост в Твиттере >>
Расширение: .promos
Записка: _readme.txt
Email: blower@india.com, blower@firemail.cc
 Содержание записки:
ATTENTION!
Don't worry my friend, you can return all your files!
All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-mlQvroK6UO
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" folder if you don't get answer more than 6 hours.
To get this software you need write on our e-mail:
blower@india.com
Reserve e-mail address to contact us:
blower@firemail.cc
Your personal ID:
033Vvbsh8HaaVTB4x1YEJ5Z***
Статус: файлы можно дешифровать!

Обновление от 28 февраля 2019:
Пост в Твиттере >>
Расширение: .promoz
Записка: _readme.txt
Email: blower@india.com, blower@firemail.cc
Статус: файлы можно дешифровать!

Обновление от 1 марта 2019:
Пост в Твиттере >>
Пост на форуме >>
Пост на форуме >>
Расширение-1: .promock
Пострадавшие из Венесуэлы
Расширение-2: .promorad
Пострадавшие из Колумбии. 
Email: blower@india.com, blower@firemail.cc
Записка: _readme.txt 
 Содержание записки:
ATTENTION!
Don't worry my friend, you can return all your files!
All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-ll0rIToOhf
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" folder if you don't get answer more than 6 hours.
To get this software you need write on our e-mail:
blower@india.com
Reserve e-mail address to contact us:
blower@firemail.cc
Your personal ID:
03xxXXxXxXxXxXxXxXxXxXXxxXXXxxxXXXXXXxxXXXXxXXxxxxXXxxXXx
Статус: файлы можно дешифровать!

Подробности про вариант с расширением .promorad
URL malware: ymad.ug
Зарегистрирован якобы русскими, но из whois-описания видно, что это обман. 
Подробности:
xxxx://ymad.ug/tesptc/ck/updatewin1.exe
xxxx://ymad.ug/tesptc/ck/updatewin2.exe
xxxx://ymad.ug/tesptc/ck/updatewin.exe
xxxx://ymad.ug/tesptc/ck/3.exe
xxxx://ymad.ug/tesptc/ck/4.exe
xxxx://ymad.ug/tesptc/ck/5.exe
xxxx://ymad.ug/1/index.php
Результаты анализов: VT + HA + VT + HA
➤ Использует api.2ip.ua для DNS-запросов. 
➤ Одновременно распространяет троян-стилер AZORult, предназначенный для кражи конфиденциальной информации. AzoRult собирает огромный "слепок данных" с компьютера жертвы, файлы и личные данные всех пользователей ПК:
- полная информация о системе (список установленных программ, запущенных процессов, имена пользователей, имя компьютера, версия операционной системы);
- технические характеристики железа (информация о видеокарте, CPU, мониторе);
- сохранённые пароли, платежные карты, кукиc, история из более 30 известных браузеров;
- пароли почтовых клиентов, FTP-клиентов, IM-клиентов;
- информация из файлов, включая обычные текстовые;
- файлы мессенджеров (Skype, Telegram);
- файлы игрового клиента Steam;
- учетные данные и файлы более 30 крипто-валютных кошельков;
- учетные данные онлайн-банкинга;
- снимок экрана;
- произвольно заданные оператором файлы по "маске" (например, маска «%USERPROFILE%\Desktop\ *.txt,*.jpg,*.png,*.zip,*.rar,*.doc» означает, что нужно отправить с ПК жертвы все файлы с рабочего стола, которые имеют эти расширения).
Также AzoRult может служить загрузчиком для других вредоносов. Ссылка на статью на английском
➤ Изменяет host-файл, чтобы заблокировать обновления Windows, антивирусных программ и сайтов, связанных с новостями по безопасности, продажей антивирусного ПО, включая сомнительные и фейковые, предлагающие фальшивое избавление от вредоносных программ. Для этого в host-файл добавляются следующие строки. 
Список адресов:

127.0.0.1 ds.download.windowsupdate.com
127.0.0.1 www.update.microsoft.com
127.0.0.1 download.windowsupdate.com
127.0.0.1 fe2.update.microsoft.com
127.0.0.1 whoer.net
127.0.0.1 www.whoer.net
127.0.0.1 windowsupdate.com
127.0.0.1 www.windowsupdate.com
127.0.0.1 microsoft.com
127.0.0.1 www.microsoft.com
127.0.0.1 www.windowsupdate.com
127.0.0.1 windowsupdate.com
127.0.0.1 www.microsoft.com
127.0.0.1 www.360totalsecurity.com
127.0.0.1 360totalsecurity.com
127.0.0.1 www.gratissoftwaresite.com
127.0.0.1 gratissoftwaresite.com
127.0.0.1 tweakers.net
127.0.0.1 www.tweakers.net
127.0.0.1 www.avg.com
127.0.0.1 avg.com
127.0.0.1 www.bestevirusscanner.net
127.0.0.1 bestevirusscanner.net
127.0.0.1 www.consumentenbond.nl
127.0.0.1 consumentenbond.nl
127.0.0.1 cheaplicensing.com
127.0.0.1 www.cheaplicensing.com
127.0.0.1 global.ahnlab.com
127.0.0.1 www.global.ahnlab.com
127.0.0.1 www.ahnlab.com
127.0.0.1 ahnlab.com
127.0.0.1 downloads.tomsguide.com
127.0.0.1 www.downloads.tomsguide.com
127.0.0.1 www.download82.com
127.0.0.1 download82.com
127.0.0.1 download.cnet.com
127.0.0.1 www.download.cnet.com
127.0.0.1 www.avast.com
127.0.0.1 avast.com
127.0.0.1 support.avast.com
127.0.0.1 www.support.avast.com
127.0.0.1 www.consumentenbond.com
127.0.0.1 consumentenbond.com
127.0.0.1 www.goedkoopsteantivirus.com
127.0.0.1 goedkoopsteantivirus.com
127.0.0.1 www.toptenreviews.com
127.0.0.1 toptenreviews.com
127.0.0.1 www.antivirus.nl
127.0.0.1 antivirus.nl
127.0.0.1 www.bol.com
127.0.0.1 bol.com
127.0.0.1 www.avira.com
127.0.0.1 avira.com
127.0.0.1 www.bitdefender.com
127.0.0.1 bitdefender.com
127.0.0.1 licentie2go.com
127.0.0.1 www.licentie2go.com
127.0.0.1 www.bullguard.com
127.0.0.1 bullguard.com
127.0.0.1 www.kpn.com
127.0.0.1 kpn.com
127.0.0.1 virusscanner.software
127.0.0.1 www.virusscanner.software
127.0.0.1 www.comodo.com
127.0.0.1 comodo.com
127.0.0.1 www.drweb.com
127.0.0.1 drweb.com
127.0.0.1 download.drweb.com
127.0.0.1 www.download.drweb.com
127.0.0.1 vms.drweb.com
127.0.0.1 www.vms.drweb.com
127.0.0.1 alternativeto.ne
127.0.0.1 www.alternativeto.ne
127.0.0.1 softonic.com
127.0.0.1 www.softonic.com
127.0.0.1 www.softpedia.com
127.0.0.1 softpedia.com
127.0.0.1 www.flipkart.com
127.0.0.1 flipkart.com
127.0.0.1 virustotal.com
127.0.0.1 www.virustotal.com
127.0.0.1 www.emsisoft.com
127.0.0.1 emsisoft.com
127.0.0.1 www.antimalwaresoftware.com
127.0.0.1 antimalwaresoftware.com
127.0.0.1 www.pcwebplus.com
127.0.0.1 pcwebplus.com
127.0.0.1 www.pcmag.com
127.0.0.1 pcmag.com
127.0.0.1 www.eset.com
127.0.0.1 eset.com
127.0.0.1 www.surfspot.com
127.0.0.1 surfspot.com
127.0.0.1 www.topantivirus.com
127.0.0.1 topantivirus.com
127.0.0.1 www.techzine.com
127.0.0.1 techzine.com
127.0.0.1 www.eset.com
127.0.0.1 eset.com
127.0.0.1 www.fortinet.com
127.0.0.1 fortinet.com
127.0.0.1 fortiguard.com
127.0.0.1 www.fortiguard.com
127.0.0.1 forticlient.com
127.0.0.1 www.forticlient.com
127.0.0.1 www.kpn.com
127.0.0.1 kpn.com
127.0.0.1 www.kaspersky.com
127.0.0.1 kaspersky.com
127.0.0.1 www.consumentenbond.com
127.0.0.1 consumentenbond.com
127.0.0.1 www.surfspot.com
127.0.0.1 surfspot.com
127.0.0.1 www.topreviews.com
127.0.0.1 topreviews.com
127.0.0.1 www.amecomputers.com
127.0.0.1 amecomputers.com
127.0.0.1 www.instantsoftware.com
127.0.0.1 instantsoftware.com
127.0.0.1 www.malwarebytes.com
127.0.0.1 malwarebytes.com
127.0.0.1 www.malwarebytes.org
127.0.0.1 malwarebytes.org
127.0.0.1 download.cnet.com
127.0.0.1 www.download.cnet.com
127.0.0.1 www.bleepingcomputer.com
127.0.0.1 bleepingcomputer.com
127.0.0.1 www.majorgeeks.com
127.0.0.1 majorgeeks.com
127.0.0.1 www.seniorweb.com
127.0.0.1 seniorweb.com
127.0.0.1 www.amazon.com
127.0.0.1 amazon.com
127.0.0.1 www.techspot.com
127.0.0.1 techspot.com
127.0.0.1 filehippo.com
127.0.0.1 www.filehippo.com
127.0.0.1 www.idealsoftware.com
127.0.0.1 idealsoftware.com
127.0.0.1 uptodown.com
127.0.0.1 www.uptodown.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 home.mcafee.com
127.0.0.1 www.home.mcafee.com
127.0.0.1 www.coolblue.com
127.0.0.1 coolblue.com
127.0.0.1 www.pcmag.com
127.0.0.1 pcmag.com
127.0.0.1 www.sky.com
127.0.0.1 sky.com
127.0.0.1 norton.com
127.0.0.1 www.norton.com
127.0.0.1 www.kieskeurig.com
127.0.0.1 kieskeurig.com
127.0.0.1 internetsecurity.xfinity.com
127.0.0.1 www.internetsecurity.xfinity.com
127.0.0.1 www.symantec.com
127.0.0.1 symantec.com
127.0.0.1 www.campusshop.com
127.0.0.1 campusshop.com
127.0.0.1 www.pandasecurity.com
127.0.0.1 pandasecurity.com
127.0.0.1 www.paradigit.com
127.0.0.1 paradigit.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 home.sophos.com
127.0.0.1 www.home.sophos.com
127.0.0.1 sophos.virtualsecurity.com
127.0.0.1 www.sophos.virtualsecurity.com
127.0.0.1 www.gratissoftware.com
127.0.0.1 gratissoftware.com
127.0.0.1 www.seniorweb.com
127.0.0.1 seniorweb.com
127.0.0.1 www.softwareadvice.com
127.0.0.1 softwareadvice.com
127.0.0.1 www.symantec.com
127.0.0.1 symantec.com
127.0.0.1 hostedendpoint.spn.com
127.0.0.1 www.hostedendpoint.spn.com
127.0.0.1 www.g2crowd.com
127.0.0.1 g2crowd.com
127.0.0.1 www.trendmicro.com
127.0.0.1 trendmicro.com
127.0.0.1 www.goedkoopsteantivirus.com
127.0.0.1 goedkoopsteantivirus.com
127.0.0.1 download.cnet.com
127.0.0.1 www.download.cnet.com
127.0.0.1 www.ign.com
127.0.0.1 ign.com
127.0.0.1 www.trusteer.com
127.0.0.1 trusteer.com
127.0.0.1 my.webrootanywhere.com
127.0.0.1 www.my.webrootanywhere.com
127.0.0.1 www.webroot.com
127.0.0.1 webroot.com
127.0.0.1 www.techradar.com
127.0.0.1 techradar.com
127.0.0.1 support.microsoft.com
127.0.0.1 www.support.microsoft.com
127.0.0.1 www.microsoft.com
127.0.0.1 microsoft.com
127.0.0.1 pulse.microsoft.com
127.0.0.1 www.pulse.microsoft.com
127.0.0.1 pcmweb.com
127.0.0.1 www.pcmweb.com
127.0.0.1 www.security.com
127.0.0.1 security.com
127.0.0.1 ccm.net
127.0.0.1 www.ccm.net
127.0.0.1 www.enigmasoftware.com
127.0.0.1 enigmasoftware.com
127.0.0.1 howtoremove.guide
127.0.0.1 www.howtoremove.guide
127.0.0.1 www.2-viruses.com
127.0.0.1 2-viruses.com
127.0.0.1 www.2-spyware.com
127.0.0.1 2-spyware.com
127.0.0.1 sensorstechforum.com
127.0.0.1 www.sensorstechforum.com
127.0.0.1 greatis.com
127.0.0.1 www.greatis.com
127.0.0.1 www.pchubs.com
127.0.0.1 pchubs.com
127.0.0.1 www.pcrisk.com
127.0.0.1 pcrisk.com
127.0.0.1 www.malware-board.com
127.0.0.1 malware-board.com
127.0.0.1 pcthreatskiller.com
127.0.0.1 www.pcthreatskiller.com
127.0.0.1 pcfixhelp.net
127.0.0.1 www.pcfixhelp.net
127.0.0.1 stepsforkillingthreats.com
127.0.0.1 www.stepsforkillingthreats.com
127.0.0.1 www.removemalwarevirus.com
127.0.0.1 removemalwarevirus.com
127.0.0.1 spyware-techie.com
127.0.0.1 www.spyware-techie.com
127.0.0.1 anti-spyware-101.com
127.0.0.1 www.anti-spyware-101.com
127.0.0.1 www.removeallvirus.com
127.0.0.1 removeallvirus.com
127.0.0.1 www.pcthreat.com
127.0.0.1 pcthreat.com
127.0.0.1 www.pcinfectionsupport.com
127.0.0.1 pcinfectionsupport.com
127.0.0.1 www.howtouninstallpcmalware.com
127.0.0.1 howtouninstallpcmalware.com
127.0.0.1 computerprotectionpro.com
127.0.0.1 www.computerprotectionpro.com

Обновление от 2 марта 2019:
Пост на форуме >>
Расширение: .promok
Пострадавшие из Албании, Индии, Непала и других стран. 
Вредоносная деятельность аналогична версии с расширением .promorad.
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc
Статус: файлы можно дешифровать!

Обновление от 8 марта 2019:
Майкл Джиллеспи обновил дешифровщик на этого семейства
Его пост в Твиттере >>
Добавлены оффлайн ключи для: 
- оффлайн ID "cZs3TaUYZzXCH1vdE44HNr1gnD2LtTIiSFFYv5t1" (.promoz, .promok, .promorad)
- оффлайн ID "TLuCxxAdd5BLXYWIvnjsWaCNR5lWoznhlRTSott1" (.promok)
Майкл постоянно собирает данные пострадавших, чтобы находить способы расшифровки тех вариантов, которые не были расшифрованы.
Я написал краткое руководство и перевел все ответы Майкла на русский язык.
Специальная статья: Сбор данных для дешифрования >>



Обновление от 9 марта 2019:
Пост на форуме >>
Расширение: .promorad2
Записка: _readme.txt 
Вредоносная деятельность аналогична версии с расширением .promorad.
Статус: файлы можно дешифровать!


Обновление от 12 марта 2019:
Пост в Твиттере >>
Расширение: .kroput
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc
Вредоносная деятельность аналогична версии с расширением .promorad.
➤ Использует api.2ip.ua для DNS-запросов. 
➤ Одновременно распространяет троян-стилер AZORult, ворующий конфиденциальную информацию. 
➤ Изменяет host-файл, чтобы блокировать обновления Windows и те же сайты, что при и вся подгруппа Promo (см. описание выше у версии с расширением .promorad). 
URL malware: xxxx://ymad.ug/***
xxxx://ymad.ug/1/***
xxxx://ymad.ug/tesptc/ruletka/*** 
Информация из URLHaus >>
Результаты анализов: VT
Статус: файлы можно дешифровать!

Обновление от 14 марта 2019:
Пост в Твиттере >>
Расширение: .kroput1
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc
Вредоносная деятельность аналогична версии с расширением .promorad.
➤ Использует api.2ip.ua для DNS-запросов. 
➤ Одновременно распространяет троян-стилер AZORult, ворующий конфиденциальную информацию. 
➤ Изменяет host-файл, чтобы блокировать обновления Windows и те же сайты, что при и вся подгруппа Promo (см. описание выше у версии с расширением .promorad).

 Используется регистратор: www.101domain.ua/ (Украина)

Новый URL malware: xxxx://loot.ug/***
Старый URL malware: xxxx://ymad.ug/***
xxxx://ymad.ug/1/***
xxxx://ymad.ug/tesptc/ruletka/*** 
Результаты анализов: VT + AR + IA


Обновление от 14 марта 2019:
Пост на форуме >>
Расширение: .charck
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc

Обновление от 14 марта 2019:
Пост на форуме >>
Расширение: .pulsar1
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc


Обновление от 14 марта 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .klope
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc

Обновление от 15 марта 2019:
Пост в Твиттере >>
Расширение: .kropun
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc


Обновления от 18 марта 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .charcl
---
Пост на форуме >>
Расширение: .kropun1
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc


Обновление от 20 марта 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .doples
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc
Результаты анализов: VT


Обновление от 21 марта 2019:
Пост в Твиттере >>
Расширение: .luces
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc
Результаты анализов: VT


Обновления от 22 марта 2019:
Пост в Твиттере >>
Расширение: .luceq
---
Пост в Твиттере >>
Расширение: .chech
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc


Обновление от 25 марта 2019:
Пост в Твиттере >>
Расширение: .proden
Записка: _readme.txt 
Email: blower@india.com, blower@firemail.cc
Результаты анализов: VT + AR + VMR
Файл host имеет тоже самое содержание, что и в обновлении от 1 марта 2019 (см. выше). 


Обновление от 25 марта 2019:
Пост в Твиттере >>
Расширение: .drume
Записка: _open_.txt 
Email: blower@india.com, blower@firemail.cc
Результаты анализов: VTAR


Обновление от 25-26 марта 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .tronas
Записка: _open_.txt
Email: merosa@india.com, merosa@firemail.cc
Email с ответом (здесь и далее): merosadecryption@gmail.com
Результаты анализов: VT + AR

Обновление от 27 марта 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .grovas
Записка: _readme.txt
Email: merosa@india.com, merosa@firemail.cc
Результаты анализов: VT + AR

Обновление от 28 марта 2019:
Пост в Твиттере >>
Расширение: .trosak
Записка: _readme.txt
Email: merosa@india.com, merosa@firemail.cc
Файл EXE: killeryuga.exe
Результаты анализов: VT + AR

Обновление от 30 марта 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .grovat
Записка: _readme.txt
Email: merosa@india.com, merosa@firemail.cc
Результаты анализов: VT + AR

Обновление от 2 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .roland
Записка: _readme.txt
Email: merosa@india.com, merosa@firemail.cc
Результаты анализов: VT + AR


Обновление от 4 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Пост на форуме >>
Расширение: .refols
Записка: _readme.txt
Email: merosa@india.com, merosa@firemail.cc
Результаты анализов: VT + AR

Обновление от 5-6 апреля 2019:
Расширение: .raldug
Записка: _readme.txt
Email: merosa@india.com, merosa@firemail.cc
Результаты анализов: VT + AR


Обновление от 9 апреля 2019:
Пост на форуме >>
Расширение: .etols
Записка: _readme.txt
Email: merosa@india.com, merosa@firemail.cc
Результаты анализов: VT + AR


Обновление от 11 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Номер версии в ID: 065
Расширение: .guvara
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
URL malaware: xxxx://pool.ug/***
URL malaware: xxxx://root.ug/***
Результаты анализов: VT + AR


Обновление от 12 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Номер версии в ID: 066
Расширение: .browec
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
URL malaware: xxxx://pool.ug/***
URL malaware: xxxx://root.ug/***
Результаты анализов: VT + AR


Обновление от 18 апреля 2019:
Пост в Твиттере >>
Топик на форуме >>
Номер версии в ID: 067
Расширение: .norvas
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
Telegram account: @datarestore
Результаты анализов: VT + AR
➤ Содержание записки: 
ATTENTION!
Don't worry my friend, you can return all your files!
All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
https://we.tl/t-pPLXOv9XTI
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.
To get this software you need write on our e-mail:
vengisto@firemail.cc
Reserve e-mail address to contact us:
vengisto@india.com
Support Telegram account:
@datarestore
Your personal ID:
067vtdsUezls8UewKOimuncHsxHIrDko23pqvlDGbX4DiKTi*****

Обновление от 20 апреля 2019:
Пост на форуме >>
Номер версии в ID: 068
Расширение: .norvas
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
Telegram account: @datarestore

Обновление от 21 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Номер версии в ID: 069
Расширение: .moresa
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
Telegram account: @datarestore
Результаты анализов: VT



Обновление от 23 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Номер версии в ID: 070
Расширение: .verasto
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
Telegram account: @datarestore

Обновление от 25 апреля 2019:
Пост на форуме >>
Пост в Твиттере >>
Номер версии в ID: 071
Расширение: .hrosas
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
Telegram account: @datarestore

Обновление от 26 апреля 2019:
Топик на форуме >>
Номер версии в ID: 072
Расширение: .kiratos
Записка: _readme.txt
Email: vengisto@india.com, vengisto@firemail.cc
Telegram account: @datarestore



Обновление от 29 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Номер версии в ID: 073
Расширение: .todarius
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch


Обновление от 30 апреля 2019:
Пост в Твиттере >>
Пост на форуме >>
Номер версии в ID: 074
Расширение: .hofos
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch

Обновление от 30 апреля 2019:
Пост в Твиттере >>
Топик на форуме >>
Номер версии в ID: 075
Расширение: .roldat
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT

Обновление от 2 мая 2019:
Пост в Твиттере >>
Пост на форуме >>
Номер версии в ID: 077
Расширение: .dutan
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT

Обновление от 4 мая 2019:
Пост в Твиттере >>
Топик на форуме >>
Топик на форуме >>
Номер версии в ID: 078
Расширение: .sarut
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT + VMR + AR

Обновление от 5 мая 2019:
Пост на форуме >>
Пост в Твиттере >>
Номер версии в ID: 079
Расширение: .fedasot 
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT

Обновление от 6-7 мая 2019:
Пост в Твиттере >>
Расширение: .berost
Номер версии в ID: 080
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT

Обновление от 6-7 мая 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .forasom
Номер версии в ID: 081
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch
Email: mosteros@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT


Обновление от 9 мая 2019:
Пост в Твиттере >>
Расширение: .fordan
Номер версии в ID: 082
Записка: _readme.txt
Email: vengisto@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT

Обновление от 10-11 мая 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Пост в Твиттере >>
Расширения: .codnat, .codnat1
Номер версии в ID: 083
Записка: _readme.txt
Email: mosteros@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT + VMR

Обновление от 15 мая 2019:
Пост в Твиттере >>
Расширение: .bufas
Номер версии в ID: 084
Записка: _readme.txt
Email: mosteros@firemail.cc, gorentos@bitmessage.ch


Обновление от 16 мая 2019:
Пост в Твиттере >>
Расширение: .dotmap
Номер версии в ID: 085
Записка: _readme.txt
Email: bufalo@firemail.cc, gorentos@bitmessage.ch

Обновление от 18 мая 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .radman
Номер версии в ID: 086
Записка: _readme.txt
Email: bufalo@firemail.cc, gorentos@bitmessage.ch



Обновление от 20 мая 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .ferosas
Номер версии в ID: 087
Записка: _readme.txt
Email: bufalo@firemail.cc, gorentos@bitmessage.ch


Обновление от 22 мая 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .rectot
Номер версии в ID: 088
Записка: _readme.txt
Email: bufalo@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT + VMR

Обновление от 24 мая 2019:
Пост в Твиттере >>
Расширение: .skymap
Номер версии в ID: 089
Записка: _readme.txt
Email: bufalo@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT + VMR


Обновление от 26 мая 2019:
Пост в Твиттере >>
Расширение: .mogera 

Номер версии в ID: 090
Записка: _readme.txt
Email: bufalo@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT + AR + HA + IA

Обновление от 28 мая 2019:
Пост в Твиттере >>
Расширение: .rezuc
Номер версии в ID: 091
Записка: _readme.txt
Email: bufalo@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT


Обновление 1 июня 2019:

Пост на форуме >>
Расширение: .stone
Номер версии в ID: 092
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT 


Обновление 2 июня 2019:
Пост на форуме >>
Топик на форуме >>
Расширение: .redmat
Номер версии в ID: 093
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT 

Обновление 3 июня 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .lanset
Номер версии в ID: 094
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT 


Обновление от 5 июня 2019:
Пост на форуме >>
Расширение: .davda
Номер версии в ID: 095
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch

Обновление от 5 июня 2019:
Пост в Твиттере >>
Расширение: .poret
Номер версии в ID: 096
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT + HA + AR + IA
URL Malware
xxxx://texet2.ug/tesptc/penelop/updatewin1.exe
xxxx://texet2.ug/tesptc/penelop/updatewin2.exe
xxxx://texet2.ug/tesptc/penelop/updatewin.exe
xxxx://texet2.ug/tesptc/penelop/3.exe
xxxx://texet2.ug/tesptc/penelop/4.exe
xxxx://texet2.ug/tesptc/penelop/5.exe
xxxx://texet2.ug/1/index.php
xxxx://texet1.ug/***


Обновление от 6 июня 2019:
Пост в Твиттере >>
Расширение: .pidon
Номер версии в ID: 097
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT 

Обновление от 7 июня 2019:
Пост в Твиттере >>
Расширение: .heroset
Номер версии в ID: 098
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT 



Обновление от 8 июня 2019:
Пост в Твиттере >>
Пост  на форуме >>
Топик на форуме >>
Расширение: .boston
Номер версии в ID: 099
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT 

Обновление от 8 июня 2019:
Пост в Твиттере >>
Расширение: .myskle
Номер версии в ID: ?
Записка: _readme.txt
Email: stoneland@firemail.cc, gorentos@bitmessage.ch
Результаты анализов: VT 

Обновление от 10 июня 2019:
Пост в Твиттере >>
Топик на форуме >>
Расширение: .muslat
Номер версии в ID: 100
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos@firemail.cc
Результаты анализов: VT 


Обновление от 11 июня 2019:
Пост в Твиттере >>
Топик на форуме >>
Расширение: .gerosan
Номер версии в ID: 101
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos@firemail.cc
Результаты анализов: VT

Обновление от 13 июня 2019:
Пост в Твиттере >>
Расширение: .vesad
Номер версии в ID: 102
Записка: _readme.txt
Email: gorentos@bitmessage.ch, ferast@firemail.cc
Результаты анализов: VT



Обновление от 17 июня 2019:
Пост в Твиттере >>
Расширение: .horon
Номер версии в ID: 103
Записка: _readme.txt
Email: gorentos@bitmessage.ch, ferast@firemail.cc
script.ps1 - сценарий PowerShell 

Результаты анализов: VT


Обновление от 19 июня 2019:
Пост в Твиттере >>
Расширение: .neras
Номер версии в ID: 104
Записка: _readme.txt
Email: gorentos@bitmessage.ch, ferast@firemail.cc
Результаты анализов: VT


Обновление от 21 июня 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .truke
Номер версии в ID: 105
Записка: _readme.txt
Email: gorentos@bitmessage.ch, ferast@firemail.cc
Результаты анализов: VT


Обновление от 23 июня 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .dalle
Номер версии в ID: 106
Записка: _readme.txt
Email: gorentos@bitmessage.ch, ferast@firemail.cc
Результаты анализов: VT + VMR

Обновление от 25 июня 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .lotep
Номер версии в ID: 107
Записка: _readme.txt
Email: gorentos@bitmessage.ch, ferast@firemail.cc
Результаты анализов: VT

Обновление от 27 июня 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .nusar
Номер версии в ID: 108
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Результаты анализов: VT


Обновление от 30 июня 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .litar
Номер версии в ID: 109
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Результаты анализов: VT + HA + IA + VMR

Обновление от 1-2 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .besub
Номер версии в ID: 110
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Результаты анализов:
 VT



Обновление от 5 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .cezor
Номер версии в ID: 111
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR


Обновление от 8-9 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .lokas
Номер версии в ID: 112
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR


Обновление от 11 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .godes
Номер версии в ID: 113
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
URL: xxxx://bronze2.hk/tesptc/penelop/***
xxxx://bronze1.hk/***
Результаты анализов: VT + VMR

Обновление от 15 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .budak
Номер версии в ID: 114
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR



Обновление от 16-18 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .vusad
Номер версии в ID: 115
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 17 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .herad
Номер версии в ID: 116
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 17 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .berosuce
Номер версии в ID: 117
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 18 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .gehad
Номер версии в ID: 118
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 18 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .gusau
Номер версии в ID: 119
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
URL: xxxx://bruze2.ug/***
xxxx://bruze2.ug/files/penelop/***
Результаты анализов: VT + VMR

Обновление от 18 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Топик на форуме >>
Расширение: .madek
Номер версии в ID: 120
Записка: _readme.txt
Email: gorentos@bitmessage.ch, varasto@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR


Обновление от 20 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .tocue
Номер версии в ID: 122
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR


Обновление от 21 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .darus
Номер версии в ID: 121
Записка: _readme.txt
Email: gorentos@bitmessage.ch, ???
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 22 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .lapoi
Номер версии в ID: 123
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 22 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .todar
Номер версии в ID: 124
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 23 июля 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .dodoc
Номер версии в ID: 125
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 24 июля 2019:
Пост в Твиттере >>
Номер версии в ID: 126
Расширение: .bopador
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 24 июля 2019:
Пост в Твиттере >>
Расширение: .novasof
Номер версии в ID:127
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 26 июля 2019:
Пост в Твиттере >>
Расширение: .ntuseg
Номер версии в ID:128
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR

Обновление от 27 июля 2019:
Пост в Твиттере >>
Расширение: .ndarod
Номер версии в ID:129
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR


Обновление от 29 июля 2019:
Пост в Твиттере >>
Расширение: .access
Номер версии в ID: 130
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + VMR


Обновление от 30 июля 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .format
Номер версии в ID: 131
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Telegram account: @datarestore Mark Data Restore
Результаты анализов: VT + HA + VMR + AR
URL Malware: xxxx://dell1.ug/
Вредоносные ссылки на сайте: xxxx://dell1.ug/files/penelop/updatewin1.exe
xxxx://dell1.ug/Aksdj8457hljskdfsdf/Asdh4835yo3iuhlkjdfgdf/get.php?pid=BBD40E71D653CAF68F8D3D1C3BF57D26&first=true
xxxx://dell1.ug/files/penelop/updatewin2.exe
xxxx://dell1.ug/files/penelop/updatewin.exe
xxxx://dell1.ug/files/penelop/3.exe
xxxx://dell1.ug/files/penelop/4.exe
xxxx://dell1.ug/files/penelop/5.exe



Обновление от 30 июля 2019:
Пост на форуме >>
Пост в Твиттере >>
Пост на форуме >>
Расширение: .nelasod
Номер версии в ID: 132
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 31 июля 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .mogranos
Номер версии в ID: 133
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 1-2 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .cosakos
Номер версии в ID: 134
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 2 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .nvetud
Номер версии в ID: 135
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 2 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .lotej
Номер версии в ID: 136
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 2 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .kovasoh
Номер версии в ID: 137
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 5 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .prandel
Номер версии в ID: 138
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 5 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .zatrov
Номер версии в ID: 139
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 6 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .masok
Номер версии в ID: 140
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 6 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .brusaf
Номер версии в ID: 141
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR




Обновление от 8 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .londec
Номер версии в ID: 141 (да, почему-то не 142)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 11 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .krusop
Номер версии в ID: 143
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 12 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .mtogas
Номер версии в ID: 144
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 13 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .nasoh
Номер версии в ID: 145
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 13 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .coharos
Номер версии в ID: 146 (0146)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 14 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .nacro
Номер версии в ID: 147
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 16 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .pedro
Номер версии в ID: 148
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 17 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .nuksus
Номер версии в ID: 149
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + AR + VT

Обновление от 18 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .vesrato
Номер версии в ID: 150
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 20 августа 2019:
Пост на форуме >>
Пост на форуме >> 
Пост в Твиттере >>
Расширение: .cetori
Номер версии в ID: 151
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 20 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .masodas
Номер версии в ID: 151
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR


Обновление от 22 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: ***
Номер версии в ID: 152
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 22 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .stare
Номер версии в ID: 153
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR

Обновление от 24 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .carote
Номер версии в ID: 154
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR + AR


Обновление от 25 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .shariz
Номер версии в ID: 155
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gorentos2@firemail.cc
Результаты анализов: VT + VMR + AR


Обновление от 25 августа 2019:
Шифрование было изменено. Поэтому теперь STOP-Decrypter не может расшифровать файлы. Во всяком случае, пока не может. 
Для тех случаев, когда шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >>
Пост на форуме >>
Пост на форуме >>
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .gero
Номер версии в ID: 156 (0156)
Записка: _readme.txt
URL: dell1.ug
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VT + VT + VT

Обновление от 27 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >>
Расширение: .hese
Номер версии в ID: 157 (0157)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VT

Обновление от 28 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .xoza
Номер версии в ID: 158 (0158)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VMR

Обновление от 2-3 августа 2019:
Пост на форуме >>
Пост в Твиттере >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >>
Расширение: .seto
Номер версии в ID: 159 (0159)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
URL video overview decrypt tool: 
https://we.tl/t-yKBR9rlo6R
https://gofile.io/?c=blfjRd
Результаты анализов: VT + VT + VT

Обновление от 3-4 сентября 2019:
Пост в Твиттере >>
Пост на форуме >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >>
Расширение: .peta
Номер версии в ID: 160 (0160)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc


Обновление от 5 сентября 2019:
Пост в Твиттере >>
Пост на форуме >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >>
Расширение: .moka
Номер версии в ID: 161 (0161)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VT

Обновление от 9 сентября 2019:
Пост в Твиттере >>
Пост в Твиттере >>
Пост на форуме >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >>
Расширение: .meds
Номер версии в ID: 162
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VT + VT + VT + VT

Обновление от 15 сентября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .kvag
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >> + >>
Номер версии в ID: 163 (0163)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VMR + VT + VT


Обновление от 17 сентября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .domn
Номер версии в ID: 164 (0164)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VT + VT + VT + VT
Malware URLs:
xxxx://dell1.ug/files/cost/updatewin1.exe
xxxx://dell1.ug/375687husgfdg443geinerin/***
xxxx://dell1.ug/files/cost/updatewin2.exe
xxxx://dell1.ug/files/cost/updatewin.exe
xxxx://dell1.ug/files/cost/3.exe
xxxx://dell1.ug/files/cost/4.exe
xxxx://dell1.ug/files/cost/5.exe
xxxx://interfaithretreats.net/517
xxxx://interfaithretreats.net/freebl3.dll
xxxx://interfaithretreats.net/mozglue.dll


Обновление от 21 сентября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .karl
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >> 
Номер версии в ID: 165 (0165)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VMR


Обновление от 23 сентября 2019:
Пост в Твиттере >>
Пост на форуме >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >>
Расширение: .nesa
Номер версии в ID: 166 (0166)
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VT



Обновление от 29 сентября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .boot
Номер версии в ID: 167 (0167)
Пример ID: 0167A73uHsdfs891cVIoy5Qlf7gx5o8J8Rb21M51plKu9Fm5FCghrLq
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentoshelp@firemail.cc
Результаты анализов: VT + VT

Обновление от 2 октября 2019:
Пост в Твиттере >>
Пост на форуме >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >> 
Расширение: .noos
Номер версии в ID: 168 (0168)
Пример ID: 0168Hhhsd6ydP1bsd6TfaKPtRqUuDJqW6WKc8W21ohh1Fbp0REA0Iz1
Записка: _readme.txt
Email: gorentos@bitmessage.ch,  gerentosrestore@firemail.cc
Результаты анализов: VT + VMR

Обновление от 1-2 октября 2019:
Пост в Твиттере >>
Пост на форуме >>
Пост на форуме >>
Расширение: .kuub
Номер версии в ID: 169 (0169)
Пример ID: 0169HydPhhsdNu07xVPbAYdhVxRiFcfZrdxMmK8tj98YtV09GpgL
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentosrestore@firemail.cc
Результаты анализов: VT + VMR

Обновление от 5 октября 2019:
Пост в Твиттере >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >> 
Расширение: .reco
Номер версии в ID: 170 (0170)
Пример ID: 0170Hf73y87gsoarWG3LbaElDn092UOS6IvTvgT0Fx6XWoX9zoxSB
Записка: _readme.txt
Email: gorentos@bitmessage.ch, gerentosrestore@firemail.cc
Результаты анализов: VT + VMR


Обновление от 7 октября 2019:
Пост в Твиттере >>
Пост на форуме >>
Если шифрование было сделано с помощью оффлайн-ключа, можно использовать дешифровщик по ссылке >> 
Расширение: .bora
Номер версии в ID: 171 (0171)
Пример ID: 0171mHffOe9i9yrZqk4KycMHjhJ8ROkjt88lc5Uptkrw1Ofq3
Пример ID: 0171mHffO5PgpqzSRFybNF0LZtqlVNz33TBxgWe7qo9cu9Nt1
Записка: _readme.txt
Email: gorentos@bitmessage.ch, amundas@firemail.cc
Результаты анализов: VT + VT


Обновление от 15-16 октября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .leto
Номер версии в ID: 172 (0172)
Пример ID: 0172au5ewgSYfg72yLPMpAQroN0dKOs3a8xmHSQszSyZhuZdcsletot1
Записка: _readme.txt
Email: gorentos@bitmessage.ch, amundas@firemail.cc
Результаты анализов: VT 

Обновление от 21 октября 2019:
Пост в Твиттере >>
Расширение: .nols
Номер версии в ID: 173 (0173)
Пример ID: 0173HfgZPaqu1khEKiC2vLQGY1odGc9O7BKepbfURA1wlryvB
Записка: _readme.txt
Email: gorentos@bitmessage.ch, amundas@firemail.cc
Результаты анализов: VT 

Обновление от 21 октября 2019:
Пост в Твиттере >>
Расширение: .werd
Номер версии в ID: 174 (0174)
Пример ID: 0174HfghPaEZqu1kKiCG2vLQYGc91odO7BbfURAKep1wyvlrB
Записка: _readme.txt
Email: gorentos@bitmessage.ch, amundas@firemail.cc
Результаты анализов: VT


Обновление от 25 октября 2019:
Пост в Твиттере >>
Расширение: .coot
Номер версии в ID: 175 (0175)
Пример ID: 0175HfPaEghZk1oKQYGiCGqu12vLc9dO7BbfURAKep1wyvlrB
Записка: _readme.txt
Email: salesrestoresoftware@firemail.cc, salesrestoresoftware@gmail.com
Результаты анализов: VT + HA + IA + AR + AR

Обновление от 25 октября 2019:
Пост в Твиттере >>
Расширение: .derp
Номер версии в ID: 176 (0176)
Пример ID: 0176Asd374y5iuhldciTvqeCet2o4ypDILokIF7c1xkE0FLtplPBhRsPX
Записка: _readme.txt
Email: salesrestoresoftware@firemail.cc, salesrestoresoftware@gmail.com
Результаты анализов: VT

Обновление от 29 октября 2019:
Пост в Твиттере >>
Расширение: .nakw
Записка: _readme.txt
Номер версии в ID: 177 (0177)
Пример ID: 0177yTsgdPgdakFTtwmXvqdOCzYblLAI8Rw1PXQ7hzVfLqfX5rian
Email: salesrestoresoftware@firemail.cc, salesrestoresoftware@gmail.com
Результаты анализов: VT

Обновление от 2 ноября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .meka
Записка: _readme.txt
Номер версии в ID: 178 (0178)
Пример ID: 0178Asd374y5iuhlduxTOeBiz9cX5kK5QMGcE2ybA0QByh4owcqjslcrn
Email: salesrestoresoftware@firemail.cc, salesrestoresoftware@gmail.com
Результаты анализов: VT


Обновление от 3 ноября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .toec
Записка: _readme.txt
Номер версии в ID: 179 (0179)
Пример ID: 0179Asd374y5iuhld0nqZpqFUkhO7jCaJOqgN19Pa0PX78dyKB3MD4eLV
Email: salesrestoresoftware@firemail.cc, salesrestoresoftware@gmail.com
Результаты анализов: VT


Обновление от 7 ноября 2019:
Пост в Твиттере >>
Топик на форуме >>
Расширение: .mosk
Записка: _readme.txt
Email: restoredatahelp@firemail.cc, gorentos@bitmessage.ch
Номер версии в ID: 180 (0180)
Результаты анализов: VT + VMR

Обновление от 6 ноября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .lokf
Записка: _readme.txt
Email: restoredatahelp@firemail.cc, gorentos@bitmessage.ch
Номер версии в ID: 181 (0181)
Результаты анализов: VT + VMR
---
Malware URL:
xxxx://ring1.ug/files/penelop/updatewin1.exe
xxxx://ring1.ug/ASd574yw4ohu5wgiudpen10/374SdjkfSD/get.php?pid=418A28BC929BC526F956B2309CA8C2B5&first=true
xxxx://ring1.ug/files/penelop/updatewin2.exe
xxxx://ring1.ug/files/penelop/updatewin.exe


Обновление от 12 ноября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .peet
Записка: _readme.txt
Email: restorefiles@firemail.cc, gorentos@bitmessage.ch
Номер версии в ID: 182 (0182)
Результаты анализов: VT + VMR


Обновление от 13 ноября 2019:
Пост в Твиттере >>
Топик на форуме >>
Пост на форуме >>
Расширение: .grod
Записка: _readme.txt
Email: restorefiles@firemail.cc, gorentos@bitmessage.ch
Номер версии в ID: 183 (0183)
Результаты анализов: VT + VMR


Обновление от 18 ноября 2019:
Пост в Твиттере >>
Топик на форуме >>
Пост на форуме >>
Расширение: .mbed
Записка: _readme.txt
Email: restorealldata@firemail.cc, gorentos@bitmessage.ch
Номер версии в ID: 184 (0184)
Результаты анализов: VT + VMR


Обновление от 18 ноября 2019:
Пост в Твиттере >>
Топик на форуме >>
Пост на форуме >>
Расширение: .kodg
Записка: _readme.txt
Email: restorealldata@firemail.cc, gorentos@bitmessage.ch
Номер версии в ID: 185 (0185)
Результаты анализов: VT + VMR

Обновление от 23 ноября 2019:
Пост в Твиттере >>
Топик на форуме >>
Пост на форуме >>
Расширение: .zobm
Записка: _readme.txt
Email: datarestorehelp@firemail.cc, datahelp@iran.ir
Номер версии в ID: 186 (0186)
Результаты анализов: VT + VT + AR + HA + IA

Обновление от 24 ноября 2019:
Пост в Твиттере >>
Топик на форуме >>
Расширение: .rote
Записка: _readme.txt
Email: datarestorehelp@firemail.cc, datahelp@iran.ir
Номер версии в ID: 187 (0187)
Результаты анализов: VT + VMR


Обновление от 29 ноября 2019:
Пост в Твиттере >>
Топик на форуме >>
Расширение: .msop
Записка: _readme.txt
Email: datarestorehelp@firemail.cc, datahelp@iran.ir
Номер версии в ID: 188 (0188)
Результаты анализов: VT + VMR


Обновление от 29 ноября 2019:
Пост в Твиттере >>
Пост на форуме >>
Расширение: .hets
Записка: _readme.txt
Email: datarestorehelp@firemail.cc, datahelp@iran.ir
Номер версии в ID: 189 (0189)
Результаты анализов: VT + VMR

Обновление от 5 декабря 2019:
Пост в Твиттере >>
Топик на форуме >>
Топик на форуме >>
Расширение: .righ
Записка: _readme.txt
Email: datarestorehelp@firemail.cc, datahelp@iran.ir
Номер версии в ID: 190 (0190)
Результаты анализов: VT + VMR





=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Хронология STOP Ransomware с использованием расширений и записок:
.STOP - декабрь 2017, февраль 2018 -- !!!YourDataRestore!!!.txt
.SUSPENDED - февраль 2018 -- !!!RestoreProcess!!!.txt
.WAITING - апрель 2018 -- !!!INFO_RESTORE!!!.txt
.PAUSA - май 2018 -- !!RESTORE!!!.txt
.CONTACTUS - май 2018 -- !!!!RESTORE_FILES!!!.txt
.DATASTOP - июль 2018 -- !!!DATA_RESTORE!!!.txt
.STOPDATA - июль 2018 -- !!!RESTORE_DATA!!!.txt
.KEYPASS - август 2018 -- !!!KEYPASS_DECRYPTION_INFO!!!.txt
.WHY - август 2018 -- !!!WHY_MY_FILES_NOT_OPEN!!!.txt
.SAVEfiles - сентябрь 2018 -- !!!SAVE_FILES_INFO!!!.txt
.DATAWAIT - (003) ноябрь 2018 -- !readme.txt - 🔓🔓
.INFOWAIT - (004) ноябрь 2018 -- !readme.txt - 🔓
.puma - (005) ноябрь 2018 -- !readme.txt - 🔓
.pumax - (005, 006) ноябрь 2018 -- !readme.txt - 🔓
.pumas - (008) ноябрь 2018 -- !readme.txt - 🔓
.shadow - (012, 013) декабрь 2018 -- !readme.txt - 🔓
.djvu - (013, 014) декабрь 2018 -- _openme.txt - 🔓
.djvuu - (016) декабрь 2018 -- _openme.txt - 🔓
.udjvu - (017) декабрь 2018 -- _openme.txt - 🔓
.uudjvu - (018) декабрь 2018 -- _openme.txt - 🔓
.djvuq - (019) декабрь 2018 -- _openme.txt - 🔓
.djvus - (020) декабрь 2018 -- _openme.txt - 🔓?
.djvur - (021) январь 2019 -- _openme.txt - 🔓
.djvut - (022) январь 2019 -- _openme.txt - 🔓
.pdff - (023) январь 2019 -- _openme.txt - 🔓
.tro - (023) январь 2019 -- _openme.txt - 🔓
.tfude - (024) январь 2019 -- _openme.txt - 🔓
.tfudeq (025) январь 2019 -- _openme.txt - 🔓
.tfudet - (024, 026) январь 2019 -- _openme.txt - 🔓
.rumba (027) январь 2019 -- _openme.txt - 🔓
.adobe - (028) январь 2019 -- _openme.txt - 🔓
.adobee - (029) январь 2019 -- _openme.txt - 🔓
.blower - (030, 031, 032) февраль 2019 -- _readme.txt - 🔓
.promos - (033) февраль 2019 -- _readme.txt - 🔓
.promoz - (034) февраль 2019 -- _readme.txt - 🔓
.promorad - (036) март 2019 -- _readme.txt - 🔓
.promock - (036) март 2019 -- _readme.txt - 🔓
.promok - (037) март 2019 -- _readme.txt - 🔓
.promoks - (038) март 2019 -- _readme.txt - 🔓?
.promorad2 - (039) март 2019 -- _readme.txt - 🔓
.kroput - (040) март 2019 -- _readme.txt - 🔓
.kroput1 - (041) март 2019 -- _readme.txt - 🔓
.pulsar1 - (041) март 2019 -- _readme.txt - 🔓
.kropun1 - (041) март 2019 -- _readme.txt - 🔓?
.charck - (044) март 2019 -- _readme.txt - 🔓
.klope - (045) март 2019 -- _readme.txt - 🔓
.kropun - (046, 047) март 2019 -- _readme.txt - 🔓
.charcl - (047) март 2019 -- _readme.txt - 🔓?
.doples - (049) март 2019 -- _readme.txt - 🔓
.luces - (050) март 2019 -- _readme.txt - 🔓
.luceq - (051) март 2019 -- _readme.txt - 🔓
.chech - (052) март 2019 -- _readme.txt - 🔓
.proden - (052) март 2019 -- _readme.txt - 🔓
.drume - (054) март 2019 -- _open_.txt - 🔓
.tronas - (056) март 2019 -- _open_.txt - 🔓
.trosak - (057) март 2019 -- _readme.txt - 🔓
.grovas - (058) март 2019 -- _readme.txt - 🔓
.grovat - (059) март 2019 -- _readme.txt - 🔓
.roland - (060) март 2019 -- _readme.txt - 🔓
.refols - (061) апрель 2019 -- _readme.txt - 🔓
.raldug - (062) апрель 2019 -- _readme.txt - 🔓
.etols - (064) апрель 2019 -- _readme.txt - 🔓
.guvara - (065) апрель 2019 -- _readme.txt - 🔓
.browec - (066) апрель 2019 -- _readme.txt - 🔓?
.norvas - (067, 068) апрель 2019 -- _readme.txt - 🔓
.moresa - (069) апрель 2019 -- _readme.txt - 🔓
.verasto - (070) апрель 2019 -- _readme.txt - 🔓
.hrosas - (071) апрель 2019 -- _readme.txt - 🔓
.kiratos - (072) апрель 2019 -- _readme.txt - 🔓?
.todarius - (073) апрель 2019 -- _readme.txt - 🔓?
.hofos - (074) апрель 2019 -- _readme.txt - 🔓? 

.roldat - (075) апрель 2019 -- _readme.txt - 🔓
.dutan - (077) - май 2019 -- _readme.txt - 🔓
.sarut - (078) - май 2019 -- _readme.txt - 🔓
.fedasot - (079) - май 2019 -- _readme.txt - 🔓
.berost - (080) - май 2019 -- _readme.txt - 🔓
.forasom - (081) - май 2019 -- _readme.txt - 🔓
.fordan - (082) - май 2019 -- _readme.txt - 🔓
.codnat - (083) - май 2019 -- _readme.txt - 🔓
.codnat1 - (083) - май 2019 -- _readme.txt - 🔓
.bufas - (084) - май 2019 -- _readme.txt - 🔓
.dotmap (085) - май 2019 -- _readme.txt - 🔓
.radman (086) - май 2019 -- _readme.txt - 🔓
.ferosas (087) - май 2019 -- _readme.txt - 🔓
.rectot (088) - май 2019 -- _readme.txt - 🔓
.skymap (089) - май 2019 -- _readme.txt - 🔓
.mogera (090) - май 2019 -- _readme.txt - 🔓
.rezuc (091) - май 2019 -- _readme.txt - 🔓
.stone (092) - июнь 2019 -- _readme.txt - 🔓
.redmat (093) - июнь 2019 -- _readme.txt - 🔓
.lanset (094) - июнь 2019 -- _readme.txt - 🔓
.davda (095) - июнь 2019 -- _readme.txt - 🔓
.poret (096) - июнь 2019 -- _readme.txt - 🔓
.pidon (097) - июнь 2019 -- _readme.txt - 🔓
.heroset (098) - июнь 2019 -- _readme.txt - 🔓
.boston (099) - июнь 2019 -- _readme.txt - 🔓
.muslat (100) - июнь 2019 -- _readme.txt - 🔓
.gerosan (101) - июнь 2019 -- _readme.txt - 🔓
.vesad (102) - июнь 2019 -- _readme.txt - 🔓
.horon (103) - июнь 2019 -- _readme.txt - 🔓
.neras (104) - июнь 2019 -- _readme.txt - 🔓
.truke (105) - июнь 2019 -- _readme.txt - 🔓
.dalle (106) - июнь 2019 -- _readme.txt - 🔓
.lotep (107) - июнь 2019 -- _readme.txt - 🔓
.nusar (108) - июнь 2019 -- _readme.txt - 🔓
.litar (109) - июнь 2019 -- _readme.txt - 🔓
.besub (110) - июль 2019 -- _readme.txt - 🔓
.cezor (111) - июль 2019 -- _readme.txt - 🔓
.lokas (112) - июль 2019 -- _readme.txt - 🔓
.godes (113) - июль 2019 -- _readme.txt - 🔓
.budak (114) - июль 2019 -- _readme.txt - 🔓
.vusad (115) - июль 2019 -- _readme.txt - 🔓
.herad (116) - июль 2019 -- _readme.txt - 🔓
.berosuce (117) - июль 2019 -- _readme.txt - 🔓
.gehad (118) - июль 2019 -- _readme.txt - 🔓
.gusau (119) - июль 2019 -- _readme.txt - 🔓
.madek (120) - июль 2019 -- _readme.txt - 🔓

.darus (121) - июль 2019 -- _readme.txt - 🔓

.tocue (122) - июль 2019 -- _readme.txt - 🔓
.lapoi (123) - июль 2019 -- _readme.txt - 🔓

.todar (124) - июль 2019 -- _readme.txt - 🔓
.dodoc (125) - июль 2019 -- _readme.txt - 🔓
.bopador (126) - июль 2019 -- _readme.txt - 🔓
.novasof (127) - июль 2019 -- _readme.txt - 🔓
.ntuseg (128) - июль 2019 -- _readme.txt - 🔓

.ndarod (129) - июль 2019 -- _readme.txt - 🔓
.access (130) - июль 2019 -- _readme.txt - 🔓
.format (131) - июль 2019 -- _readme.txt - 🔓

.nelasod (132) - июль 2019 -- _readme.txt - 🔓
.mogranos (133) - июль 2019 -- _readme.txt - 🔓
.cosakos (134) - август 2019 -- _readme.txt - 🔓
.nvetud (135) - июль 2019 -- _readme.txt - 🔓
.lotej (135) - июль 2019 -- _readme.txt - 🔓
??? (136) - июль - август 2019 -- _readme.txt - 🔓
.kovasoh (137) - август 2019 -- _readme.txt - 🔓

.prandel (138) - август 2019 -- _readme.txt - 🔓
.zatrov (139) - август 2019 -- _readme.txt - 🔓
.masok (140) - август 2019 -- _readme.txt - 🔓

.brusaf (141) - август 2019 -- _readme.txt - 🔓
.londec (141-142?) - август 2019 -- _readme.txt - 🔓
.krusop (143) - август 2019 -- _readme.txt - 🔓
.mtogas (144) - август 2019 -- _readme.txt - 🔓

.nasoh (145) - август 2019 -- _readme.txt - 🔓
.coharos (146) - август 2019 -- _readme.txt - 🔓?
.nacro (147) - август 2019 -- _readme.txt - 🔓

.pedro (148) - август 2019 -- _readme.txt - 🔓
.nuksus (149) - август 2019 -- _readme.txt - 🔓
.vesrato (150) - август 2019 -- _readme.txt - 🔓
.cetori (151) - август 2019 -- _readme.txt - 🔓

.masodas (151) - август 2019 -- _readme.txt - 🔓
.stare (153) - август 2019 -- _readme.txt - 🔓
.carote (154) - август 2019 -- _readme.txt - 🔓
.shariz (155) - август 2019 -- _readme.txt - 🔓
.gero (156) - август 2019 -- _readme.txt - 🔓 >>
.hese (157) - август 2019 -- _readme.txt - 🔓 >>
.xoza (158) - август 2019 -- _readme.txt 
- 🔓?
.seto (159) - сентябрь 2019 -- _readme.txt - 🔓?
.peta (160) - сентябрь 2019 -- _readme.txt - 🔓 >>
.moka (161) - сентябрь 2019 -- _readme.txt - 🔓 >>
.meds (162) - сентябрь 2019 -- _readme.txt - 🔓 >>
.kvag (163) - сентябрь 2019 -- _readme.txt - 🔓 >>
.domn (164) - сентябрь 2019 -- _readme.txt - 🔓?

.karl (165) - сентябрь 2019 -- _readme.txt - 🔓 >>
.nesa (166) - сентябрь 2019 -- _readme.txt - 🔓 >>

.boot  (167) - сентябрь 2019 -- _readme.txt
.noos (168) - октябрь 2019 -- _readme.txt
.kuub (169) - октябрь 2019 -- _readme.txt
.mike  (без номера) -- _readme.txt - подделка под STOP (см. статью Mike NotSTOP)
.reco (170) - октябрь 2019 -- _readme.txt
.bora (171) - октябрь 2019 -- _readme.txt
.leto  (172) - октябрь 2019 -- _readme.txt
.nols  (173) - октябрь 2019 -- _readme.txt
.werd  (174) - октябрь 2019 -- _readme.txt
.coot - (175) - октябрь 2019 -- _readme.txt
.derp - (176) - октябрь 2019 -- _readme.txt
.nakw - (177) - октябрь 2019 -- _readme.txt
.meka - (178) - ноябрь 2019 -- _readme.txt
.toec - (179) - ноябрь 2019 -- _readme.txt
.mosk - (180) - ноябрь 2019 -- _readme.txt
.lokf - (181) - ноябрь 2019 -- _readme.txt

.peet - (182) - ноябрь 2019 -- _readme.txt
.grod - (183) - ноябрь 2019 -- _readme.txt
.mbed - (184) - ноябрь 2019 -- _readme.txt
.kodg - (185) - ноябрь 2019 -- _readme.txt
.zobm - (186) - ноябрь 2019 -- _readme.txt
.rote - (187) - ноябрь 2019 -- _readme.txt
.msop - (188) - ноябрь 2019 -- _readme.txt
.hets - (189) - ноябрь 2019 -- _readme.txt
.righ - (190) - декабрь 2019 -- _readme.txt
 - (191) - декабрь 2019 -- _readme.txt
 - (192) - декабрь 2019 -- _readme.txt
 - (193) - декабрь 2019 -- _readme.txt
 - (194) - декабрь 2019 -- _readme.txt
 - (195) - декабрь 2019 -- _readme.txt


Легенда:
🔓 - дешифруются файлы, зашифрованные оффлайн-ключами; FAQ см. ниже.
🔓? - дешифровка под вопросом, исследуется, или нужен образец вредоноса
(060) - номер версии из записки, ничего не значит, нужен, чтобы не запутаться.

>> - ссылка на инструкцию для дешифровки файлов, зашифрованных с помощью оффлайн-ключа



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
В некоторых случаях файлы можно дешифровать!
Составьте запрос в Dr.Web на пробную дешифровку: 
- на русском языке
- на английском языке
После проверки вам сообщат подробности. 
➽ Или напишите Emmanuel_ADC-Soft на форум, email, Твиттер. 
***
1) Варианты c расширениями .DATAWAIT, .INFOWAIT и более ранние можно дешифровать в Dr.Web 2) Варианты с расширениями .puma, .pumax, .pumas можно дешифровать по ссылке >> 3) Варианты с расширениями .djvu, .djvuq, .djvur, .djvut, .djvuu, .udjvu, .pdff, .tro, .tfude, .tfudeq, .tfudet, rumba, adobe, adobee, blower, promos, promoz и более новые можно дешифровать по ссылке >> *
2)
3)
STOP Decrypter расшифрует только файлы, зашифрованные оффлайн-ключами. В окне программы видно загруженные ключи и поддерживаемые расширения. 
Майкл собирает данные пострадавших, чтобы применить их в декриптере и расшифровать файлы. Я написал краткое руководство и перевел все ответы Майкла на русский язык (см. ссылку ниже).
Новый дешифровщик для файлов групп STOP и Puma (расширения .puma, .pumax, .pumas,  
.DATAWAIT, .INFOWAIT и некоторые другие), если они зашифрованы оффлайн-ключом), 
можно скачать по ссылке >> *
***
Новый дешифровщик для файлов группы Djvu (с расширениями от .djvu, до .shariz), 
если они зашифрованы оффлайн-ключом, и для некоторых из группы Gero, 
можно скачать по ссылке >> 
Есть оффлайн-ключи для вариантов: .gero, .hese, .seto, .peta, .moka, .meds, .kvag, 
.domn, .karl, .nesa, .noos, .kuub, .reco, .bora, .nols, .werd, .coot, .derp, .meka, .mosk,  
Исключение — файлы с расширениями: .coharos, .boot, .leto, .nakw, .toec, .lokf
***
Новый сервис расшифровки старых версий группы Djvu позволяет расшифровать файлы 
разных расширений (jpg. png, doc, pdf и др.). Здесь можно расшифровать файлы, которые 
были зашифрованы с помощью онлайн-ключей. 
Важное условие: наличие точной файловой пары (зашифрованный и оригинальный файлы). 
***
***
Оффлайн ID говорит о том, что файлы зашифрованы с помощью оффлайн-ключа. 
После обнаружения этого ключа специалисты по расшифровке добавят его в базу 
дешифровщика и файлы можно будет расшифровать. 
Онлайн ID генерируется C&C-сервером вымогателей для STOP-Djvu Ransomware, когда 
он атакует ПК пострадавшего. Если он есть на ПК, то это означает, что C&C-сервер 
вымогателей сгенерировал случайный набор ключей, которые использовались 
для шифрования файлов. Восстановление таких зашифрованных файлов невозможно.
Шифрование с алгоритмом RSA, используемое в вариантах группы Gero, не позволяет 
использовать пару файлов "зашифрованный + оригинальный" для обучения сервиса расшифровки. Этот 
защищенный тип шифрования устойчив ко взлому и невозможно расшифровать файлы без закрытого ключа. 
Даже суперкомпьютеру на вычисление такого ключа потребуется десятки тысяч лет.
***
***
 Read to links: 
 Tweet on Twitter + myTweet
 ID Ransomware (ID as STOP)
 Write-up, Topic of Support, General support topic
 * 
 Thanks: 
 Michael Gillespie, MalwareHunterTeam
 Andrew Ivanov, GrujaRS, S!Ri, Emmanuel_ADC-Soft
 quietman7, Lawrence Abrams (BleepingComputer), pcrisk
 (to the victims from the support topic and to all who send me samples)
 *
Обнаружения: 
DrWeb -> Trojan.Encoder.26314, Trojan.PWS.Banker1.28986, Trojan.Encoder.26995, Trojan.Encoder.26996, Trojan.DownLoader27.16110, Trojan.DownLoader27.20574, Trojan.PWS.Siggen2.9186, Trojan.Siggen8.5440, Trojan.PWS.Stealer.24943, Trojan.Faker.12, Trojan.Siggen8.16294, Trojan.Siggen8.16299, Trojan.MulDrop8.58033, Trojan.PWS.Stealer.24943, Trojan.Siggen8.20167, Trojan.Siggen8.20394, Trojan.Siggen8.21202, Trojan.Siggen8.23665, Trojan.Encoder.27776, Trojan.MulDrop8.58040, Trojan.DownLoader28.16, Trojan.Encoder.26996
BitDefender -> Gen:Heur.Ransom.RTH.1, Trojan.Ransom.Stop.A, Trojan.GenericKD.31342714, Trojan.GenericKD.31369885, Trojan.GenericKD.31500621, Trojan.GenericKD.31514824, Trojan.GenericKD.31517950, Trojan.GenericKD.31534187, Trojan.GenericKD.31534080, Trojan.GenericKD.31575808, Trojan.GenericKD.31691360, Trojan.MulDrop8.58033, Trojan.MulDrop8.58040, Trojan.GenericKD.31787961, Trojan.GenericKD.31789478, Trojan.GenericKD.40765609, Trojan.GenericKD.40841043,  Trojan.GenericKD.40878732, Trojan.GenericKD.40887380, Generic.Ransom.Stop.59BDDCFD, DeepScan:Generic.Zamg.8.*, DeepScan:Generic.Ransom.Stop.*, Gen:Variant.Trojan.Crypt.63, Trojan.GenericKD.31806757, Trojan.GenericKD.31809991, Trojan.GenericKD.31822410, Trojan.GenericKD.31823954, Trojan.GenericKD.31838431, Trojan.GenericKD.41139976, Trojan.GenericKD.41149918, Trojan.GenericKD.41197210, Gen:Variant.Ulise.35558, Gen:Heur.Titirez.1.F, Trojan.GenericKD.41257217, Trojan.GenericKD.41271436, Gen:Variant.Strictor.195347, Gen:Variant.Jaik.36875, Trojan.GenericKD.41638988, Trojan.GenericKD.41690750
Kaspersky -> Trojan.Win32.Scar.rmry, Trojan-PSW.Win32.Coins.nrc, Trojan-PSW.Win32.Coins.pek, Trojan.Win32.Scar.rsps, Trojan-PSW.Win32.Coins.qvc, Trojan-Banker.Win32.Jimmy.brm, Trojan.Win32.Agent.qwiwes, Trojan.Win32.Chapak.cyho, Trojan-Banker.Win32.Jimmy.czf
Malwarebytes -> Ransom.Chaicha, Trojan.MalPack, Trojan.Injector, Ransom.Salsa, Trojan.MalPack.GS.Generic
VBA32 -> TrojanRansom.Chaicha, BScope.TrojanPSW.Coins, BScope.Trojan.Chapak, BScope.Trojan.Tiggre, BScope.Trojan.Pushdo, BScope.Trojan.AntiAV, BScope.Backdoor.Mokes, Malware-Cryptor.Limpopo
ALYac -> Trojan.Ransom.Stop, Trojan.Fuerboos
Symantec -> Trojan.Gen.2, Ransom.Pots, Trojan.Gen.MBT
Tencent -> Win32.Trojan.Stop.*

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

128 комментариев:

  1. hello
    is there free decrypt for STOP ransomware Datawait to recover the files
    thsnk you

    ОтветитьУдалить
  2. Hello my pc i Hacked by the Djvu , How can i unlock it plz reply fast

    ОтветитьУдалить
    Ответы
    1. Hello, Marwan Ahmed
      djvu, djvuu, udjvu - is variants of STOP Ransomware
      General support topic:
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-suspended-yourdatarestore-txt-support-topic/
      Welcome.

      Удалить
  3. vi amar pc ta problam hosya please help 01974985655

    ОтветитьУдалить
    Ответы
    1. We do not know yet how to recover encrypted files of STOP-Djvu. If there will be a decryptor, we will report it here, after the article and updates.

      Удалить
  4. Hello,

    I have problem, I recently infected pc with ransom virus, all my family pictures some of them old over 15 years are changed extension to .djvut Please help me to recover at least my family photos.

    Мир божији Христос се роди!
    Поѕдрав из Србије
    Немања С.

    ОтветитьУдалить
    Ответы
    1. Здраво, српски брате, радо ћемо помоћи, али за сада не постоји декрипција за STOP-Djvu. Ако се у будућности појави декриптор, јавићемо овде.
      Привет, сербский брат, мы бы с радостью помогли, но пока нет расшифровки для STOP-Djvu. Если будет расшифровщик, то мы сообщим здесь.
      Hello. We do not know yet how to recover encrypted files of STOP-Djvu. If this be decryptor, we will report it here, after the article and updates.

      Удалить
  5. Хвала Вам унапред добри људи.
    Заранее спасибо добрые люди.

    ОтветитьУдалить
    Ответы
    1. Майкл придумал способ дешифровки ваших файлов. Способ не для всех файлов, но он работает.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-suspended-yourdatarestore-txt-support-topic/

      Удалить
  6. I'm also a victim of that .djvut virus. I also noticed that NOT all my Files are infected I didn't know how the spreading STOP. Anyway. Your work helped a lot of people who also are victims of different ransomware viruses. Thank you for not stopping Helping people. I hope you continue and have a decryptor tool for .djvut etc, Good luck. I'm always checking on this site. Thank you.

    ОтветитьУдалить
    Ответы
    1. OK. + General topic support >>
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-suspended-yourdatarestore-txt-support-topic/

      Удалить
  7. off_dib.bmp.djvur такой файл как открыт a? можна или невозможна. ПОЖАЛЮСТА ПОМОГИТЕ МНЕ все файлы фото и видео от свадебний день

    ОтветитьУдалить
    Ответы
    1. Эти файлы зашифрованы вымогателями. Пока у нас нет бесплатной (публичной) программы-дешифровщика. Topic support >>
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-suspended-yourdatarestore-txt-support-topic/

      Удалить
    2. Может антивирусные компании смогут сделать дешифровщик, когда-нибудь.

      Удалить
    3. Майкл придумал способ дешифровки ваших файлов.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-suspended-yourdatarestore-txt-support-topic/

      Удалить
  8. Hi guys, I need some help. My friend's pc was attacked recently and now all of it's files got encrypted into .tfudet format and thank god I found this post has a file (.zip) to decrypt. But I have a question, is it just like that (use the file) and no other things to do, look, or anything? This is my first time though, so I don't know anything, desperately looking for help and sorry if I'm being stupid.

    Peace

    ОтветитьУдалить
    Ответы
    1. Hello. It is good that you asked. There are some restrictions for files. Details are better to ask on the forum at this link.
      Demonslay335 invented something and there are already successful decryptions.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-suspended-yourdatarestore-txt-support-topic/

      Удалить
    2. It is only necessary to go to one of the last pages of the support topic. There are a lot of pages.

      Удалить
  9. Hi guys,

    sorry but i´ve a problem with encrypted files, the _openme.txt shows follow information :

    ---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------

    Don't worry, you can return all your files!
    All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
    The only method of recovering files is to purchase decrypt tool and unique key for you.
    This software will decrypt all your encrypted files.
    What guarantees do we give to you?
    You can send one of your encrypted file from your PC and we decrypt it for free.
    But we can decrypt only 1 file for free. File must not contain valuable information.
    You can look online overview decrypt tool:
    https://vimeo.com/306940477
    Don't try to use third-party decrypt tools because it will destroy your files.
    Discount 50% available if you contact us first 72 hours.

    ---------------------------------------------------------------------------------------------------------------------------


    To get this software you need write on our e-mail:
    restoredjvu@india.com

    Reserve e-mail address to contact us:
    restoredjvu@firemail.cc

    Your personal ID:
    019iW1iatU8mul2teup8JklhDNiHiGH5Lpaij4ITpVS

    The ID Ransomeware.malwarehunterteam.com website say that :

    1 Result
    STOP (Djvu)
    Diese Ransomware kann unter bestimmten Umständen entschlüsselbar sein.

    Siehe die dazugehörige Anleitung für weitere Informationen.
    Identifiziert von

    ransomnote_filename: _openme.txt
    ransomnote_email: restoredjvu@firemail.cc
    sample_extension: .djvuq
    sample_bytes: [0x3034 - 0x304E] 0x7B33364136393842392D443637432D344530372D424538322D3045433542313442344446357D

    i´m not a specialist and not realy perfect with the english language, so i look for a simple for dummy understanable and practiable way to recover my very important pictures on my PC and also the backup files ;-)

    ОтветитьУдалить
    Ответы
    1. Hello. It is good that you asked. There are some nuance during recovery. Details are better to ask on the forum at this link.
      Demonslay335 invented method and there are already successful decryptions for your variant STOP-Djvu Ransomware.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-suspended-yourdatarestore-txt-support-topic/

      Удалить
  10. Hello.. can you help me? im deden from indonesia , my computer is infected by ransomware
    ext : .adobe
    your personal ID : 028NnIbnWBVeXNdk03p9azlF43mkNKj6Vnwuy7RqiJE
    MAC : 30-F7-72-26-33-B5
    I hope you can help me, because I am a student, many important files on my computer ..please

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants.
      Files with .adobe extensions are encrypted with a new version of the STOP-Ransomware. I found out about them yesterday. It is still unclear whether they can be decrypted.

      Удалить
  11. Hello i used the STOPDecrypter tool on my files (infected with .rumba) it decrypts perfectly but when i proceed to the larger files i have a 5gb video file in .mkv format the tool cant decrypt and says

    [!] No keys were found for the following IDs:
    [*] ID: ?E??_STATISTICS_TAGSDz?engD?? D??BPS DUR

    what do i do to decrypt my larger files?

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants. It is possible that he will be able to answer your question with large files.

      Удалить
  12. Ответы
    1. We assume that maybe the files can be decrypted. But first need to get the file malicious to analysis.

      Удалить
  13. is there any decrypt tool for .shadow ransomware please? thank you

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants. It is possible that he will be able to answer your question.

      Удалить
  14. Please help me, my HDD Ext has lots of files with the .adobee extension how to fix it. Thx b4

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-adobee also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants. It is possible that he will be able to answer your question.

      Удалить
  15. Hello .. can you help me? my computer is infected by ransomware
    ext: .adobee
    personal ID: 0HIYNe7SaovzCSHrpTgTCyRJMN6xeP1xxlFFAwhR
    MAC: 10:60:4B:84:CA:88

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-adobee also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants. It is possible that he will be able help to your.

      Удалить
  16. Hello dear,
    All my drive files are gone with .PROMOS extension.
    any solution please..........

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-promos also. 
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants. It is possible that he will be able help to your.

      Удалить
  17. Hello .. can you help me? my computer is infected by ransomware
    ext: .adobee
    personal ID: 039OspdywaduiShdktrecCp87ouOjwYAg3aEpAwY7ZCHmYIYmZBsQbaxzONlV
    MAC: C8-3A-35-CC-85-A6

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-adobee also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants.
      The decoder can only decrypt files encrypted with offline-keys. If the encryptor connected to the server, and got the encryption keys, then STOPDecrypter will not work to decrypt files.

      Удалить
  18. Please Help!!!
    No key for ID: 93RMUthaIzFD7zhPdZ7rFNnW9YSkgXFyDyx1MCp2 (.roland )
    Unidentified ID: 93RMUthaIzFD7zhPdZ7rFNnW9YSkgXFyDyx1MCp2 (.roland )
    MAC: 00:21:70:18:23:59
    Thanks in Advance.

    ОтветитьУдалить
    Ответы
    1. Hello. You need to register on the bleepingcomputer.com forum and write this data to STOP Ransomware support topic.https://www.bleepingcomputer.com/forums/t/671473/
      STOPDecrypter for your variant with .roland extension for files encrypted with offline-keys.
      https://download.bleepingcomputer.com/demonslay335/STOPDecrypter.zip

      Удалить
  19. Hello. I have been a victim of .etols. Here is the info you need:

    Personal ID: 064bervcogRD9kBhLd8Z2TDm3dLSyU4LrFyM2anTVjXXRC2Yzj
    MAC Address: 2A-EE-65-31-FC-AB

    Thank you in advance.

    ОтветитьУдалить
    Ответы
    1. I do not need it. Write it in the topic
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-puma-djvu-promo-drume-support-topic/
      Only in the topic are going this data.

      Удалить
  20. Hi, i was a victim of .etols. and i do not know what to do, i have tried all software but nothing worked for me.

    ОтветитьУдалить
    Ответы
    1. No need to try anything. The only useful tool is the STOPDecrypter. It does not yet support this new extension, but you need to write to the topic of support, where information from the victims is collected.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-puma-djvu-promo-drume-support-topic/

      Удалить
  21. .kropun1 - (041) March 2019 - _readme.txt - 🔓? We need a sample of malware !!!

    What sample do you need?
    I can provide it to you.

    ОтветитьУдалить
  22. NORVAS RANSOMWARE PLZ HELP
    this is my example
    https://www.sendspace.com/file/5wz1he

    ОтветитьУдалить
    Ответы
    1. Hello. This is new variant of STOP Ransomware.
      You need to register on the bleepingcomputer.com forum, read first post of topic and write need data to your new message in STOP Ransomware support topic. https://www.bleepingcomputer.com/forums/t/671473/

      Удалить
  23. hello. i got .sarut here is sample https://www.sendspace.com/file/2n9s7r please help me. thank you.

    ОтветитьУдалить
    Ответы
    1. Hello. This is new variant of STOP Ransomware.
      You need to register on the bleepingcomputer.com forum, read first post of topic and write need data to your new message in STOP Ransomware support topic. https://www.bleepingcomputer.com/forums/t/671473/

      Удалить
  24. hi
    my data encrypted by .skymap
    here for sample https://www.sendspace.com/file/jouiz3
    help please
    there is my important data
    thank you

    ОтветитьУдалить
    Ответы
    1. Hello. This is new variant of STOP Ransomware.
      You need to register on the bleepingcomputer.com forum, read first post of topic and write need data to your new message in STOP Ransomware support topic. https://www.bleepingcomputer.com/forums/t/671473/

      Удалить
  25. me ataco razomware con encritacion rectot alguna herramienta que me recomienden para recuperar mis archivos????

    necesito ayuda urgente

    ОтветитьУдалить
    Ответы
    1. Hello. This is new variant of STOP Ransomware.
      You need to register on the bleepingcomputer.com forum, read first post of topic and write need data to your new message in STOP Ransomware support topic. https://www.bleepingcomputer.com/forums/t/671473/
      ----------------------------------------------------
      Hola. Esta es la nueva variante de STOP Ransomware.
      Debe registrarse en el foro bleepingcomputer.com, leer la primera publicación del tema y escribir los datos de necesidad en su nuevo mensaje en el tema de soporte de STOP Ransomware https://www.bleepingcomputer.com/forums/t/671473/

      Удалить
  26. [!] No keys were found for the following IDs:
    [*] ID: 8YfBhhwJbDBSJ2S03hGg9FM5EGndB49G6ZiLpdGx (.skymap )
    [*] MACs: 00:FF:07:C1:2B:60, 5E:C2:9A:84:19:AE, 00:26:82:CF:4A:E1, 00:26:82:CF:4A:E1, 1C:C1:DE:A2:F0:9F, 70:F3:95:98:12:3C

    https://www.sendspace.com/file/qdv52a
    I registered already in bleeping computer account: sPY190

    please help me !!!!!

    ОтветитьУдалить
    Ответы
    1. Hello. This is new variant of STOP Ransomware. You need to register on the bleepingcomputer.com forum, read first post of topic and write need data to your new message in STOP Ransomware support topic. https://www.bleepingcomputer.com/forums/t/671473/
      Unsuccessful decryption cases are there also will collected.

      Удалить
  27. Bonsoir je suis une victime d'un ransomware avec l'extension .skymap j'ai essayé des décrypteur mais ça n'a pas fonctionner pouvez vous m'aidez svp ??

    personal ID:
    089AsjdhieuwJBSDfysmZrPunhB5lzX1QOQtrB6WAnfSobXfsrCVEvOnFZa

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants.

      Удалить
  28. i was a victim of .rezuc
    i don't know what to do.
    the first i need to decrypt my files.
    this is my ID: 091hushF63iUYSFDsdf7Xf1IgPuJdUMdqk5RcTiOPEzsyTDtcAsuPJpBBhe0
    i check one of my file in website: http://id-ransomware.malwarehunterteam.com and i see:
    extension :.rezuc
    byte :[0x29F0 - 0x2A0A] 0x7B33364136393842392D443637432D344530372D424538322D3045433542313442344446357D

    this is my email: ngocquy.096613@gmail.com
    please help me
    thank you!

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all the data to set up a decrypter for new Ransomware variants.

      Удалить
  29. help plz.. norvas problem
    [!] No keys were found for the following IDs:
    [*] ID: U5CAUsaVTZswlzA5i55QCXyn9NuYckFTNez0ozSc (.norvas )
    [*] ID: U5CAUsaVTZswlzA5i55QCXyn9NuYckFTNez0ozSc (.gsm )
    [*] ID: U5CAUsaVTZswlzA5i55QCXyn9NuYckFTNez0ozSc (.bmp )
    Please archive these IDs and the following MAC addresses in case of future decryption:
    [*] MACs: 80:FA:5B:46:7E:58, B0:35:9F:07:5A:4A, B2:35:9F:07:5A:49, 00:FF:5B:CA:BD:F7, B0:35:9F:07:5A:49, B0:35:9F:07:5A:4D
    This info has also been logged to STOPDecrypter-log.txt

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a decrypter for new STOP Ransomware variants.

      Удалить
  30. Decrypted 0 files!
    Skipped 66 files.

    [!] No keys were found for the following IDs:
    [*] ID: 3O3Zn4LeBG8kkWwS2nX61CWiHLZ46k1s632Cg9t1 (.vesad )
    Please archive these IDs and the following MAC addresses in case of future decryption:
    [*] MACs: 54:E1:AD:0A:BF:D4, 3E:95:09:4D:8D:29, 3C:95:09:4D:8D:29, 3C:95:09:4D:8D:2A

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a decrypter for new STOP Ransomware variants.

      Удалить
  31. .horon:
    [!] No keys were found for the following IDs:
    [*] ID: XF3Ux06Gfi66q2Kg8z5xmXMB8WAamL4GeQXBkmIF (.horon )
    [*] ID: JtkQUrpVXQB69IB5uUcXQ248Wj0DM9fjtaSThgt1 (.horon )
    Please archive these IDs and the following MAC addresses in case of future decryption:
    [*] MACs: B0:0C:D1:78:07:BE / C4:65:16:A3:55:37

    ОтветитьУдалить
    Ответы
    1. This is new variant of STOP Ransomware. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a decrypter for new STOP Ransomware variants.

      Удалить
  32. Hello, I am a victim of the HARD File (.beras) virus

    the following message is contained in one of my folders:
    ____________________________________________________________________________________

    ATTENTION!

    Don't worry, you can return all your files!
    All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
    The only method of recovering files is to purchase decrypt tool and unique key for you.
    This software will decrypt all your encrypted files.
    What guarantees you have?
    You can send one of your encrypted file from your PC and we decrypt it for free.
    But we can decrypt only 1 file for free. File must not contain valuable information.
    You can get and look video overview decrypt tool:
    https://we.tl/t-NR59YKskL6
    Price of private key and decrypt software is $980.
    Discount 50% available if you contact us first 72 hours, that's price for you is $490.
    Please note that you'll never restore your data without payment.
    Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.


    To get this software you need write on our e-mail:
    gorentos@bitmessage.ch

    Reserve e-mail address to contact us:
    ferast@firemail.cc

    Our Telegram account:
    @datarestore

    Your personal ID:
    104nGfDsMbb9NpThejWZNZynBP1T2ifnPzMJtHQK9BSC6VJIy1I
    ____________________________________________________________________________________

    itu sangat merusak pekerjaan dan file penting saya. Mohon bantuannya, karena ada banyak sekali file penting yang ada di komputer saya. Terima Kasih

    ОтветитьУдалить
    Ответы
    1. Probably you were mistaken in one letter "B".
      Extension must be .neras - with letter "N".

      Удалить
    2. I mean .neras sorry, I'm too nervous because what I have been confused about is, I hope you can help me, thank you

      Удалить
    3. This is new variant of STOP Ransomware. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a decrypter for new STOP Ransomware variants.

      Удалить
  33. Hi. I'm victim of STOPransomware, hope you can help me.

    This is the information that appear in the text file tha left the ransomware:
    ID: 106Asdj475yiudfEsxTOAJliGLGKhFzScK2qSEVMnxdrdLdEmQIpIN7
    Extension file: .dalle

    This is the information that appear in the STOPDecrypter app:
    MACs: 3C:2C:30:9D:BB:14, 48:A4:72:53:D7:35, 4A:A4:72:53:D7:34, 48:A4:72:53:D7:34, 48:A4:72:53:D7:38
    ID: EsxTOAJliGLGKhFzScK2qSEVMnxdrdLdEmQIpIN7 (.dalle )

    ОтветитьУдалить
    Ответы
    1. This is new variant of STOP Ransomware. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a decrypter for new STOP Ransomware variants.

      Удалить
  34. All my files are encrypted by .redmat
    Please help me decrypt it if you have one of the tools

    ОтветитьУдалить
  35. hi please i need your help for the below

    Decrypted 0 files!
    Skipped 4 files.

    [!] No keys were found for the following IDs:
    [*] ID: LtUVHyBqy54a9B7N0GDVYVpmoaPs55TmP0Y9kQvF (.mp4 )
    [*] ID: LtUVHyBqy54a9B7N0GDVYVpmoaPs55TmP0Y9kQvF (.horon )
    Please archive these IDs and the following MAC addresses in case of future decryption:
    [*] MACs: 00:FF:78:10:AA:F8, F4:8C:50:4E:FF:17, F6:8C:50:4E:FF:16, 00:FF:61:E9:83:0D, F4:8C:50:4E:FF:16

    ОтветитьУдалить
    Ответы
    1. I answered you by email. You need to write to the topic. STOP-shadow also.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a decrypter for new STOP Ransomware variants.

      Удалить
  36. Hi, I have the .nusar virus, how can I send some files to you, for see if you can tell me if i can save or theres a way to save my files?

    ОтветитьУдалить
    Ответы
    1. This is new variant of STOP Ransomware with .nusar extension. You need to write to the topic.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants.

      Удалить
  37. Fui infectado com o ransomware .besub
    Como posso enviar uma amostra para você?

    ОтветитьУдалить
    Ответы
    1. This is new variant of STOP Ransomware with .besub extension. You need to write to the topic.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants.

      Удалить
    2. is there a decryptor on .besub ransomware? i tried STOPdecryptor like you mentioned but not working.cant open. thanks!

      Удалить
    3. You need to write to the topic about this problem.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.

      Удалить
  38. I have problem with my laptop, may they enscrypt my laptop with extension .cezor
    Data Restore personal ID: 111Asd3i74yih3gkdMRrOmiaGsrOBV5WeKx9PFMAoug3J1vvarRjmmut1
    Help me please, tahnk you

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic about this problem.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.

      Удалить
  39. Nice Article. The variants of STOP Ransomware such as Litar & Redmat Ransomware are infecting a large number of systems across the world & rendering the files encrypted & inaccessible. The computer users should be vigilant while using internet & employ certain security measures to protect data from its infection in the first place. After all, prevention is better than cure!

    ОтветитьУдалить
  40. i was infected with .budak yesterday, how i send a sample? the virus didn't finished the encryption because i turned the computer off

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic about this problem.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.
      Sample upload to Virustotal.com and give us a link.

      Удалить
  41. Hallo, all my files encrypted by extension file *.access , then i want to decrypt with STOPDecrypted v2.1.0.20 its didnt works, mybie this is new variant of STOP ransomware
    hopefully you can help. and thanks for your help!

    with note:
    Your personal ID:
    130k4s7fs7348gdf1gOPcNGIG4QT7HSny8NXQuqVPd3R88M3fJHvDQdp

    and STOPDecrypter log note
    ID: 1gOPcNGIG4QT7HSny8NXQuqVPd3R88M3fJHvDQdp (.access )
    Unidentified ID: 1gOPcNGIG4QT7HSny8NXQuqVPd3R88M3fJHvDQdp (.access )
    MACs: 78:24:AF:C6:F4:74, 16:27:1E:D8:9D:CF, 54:27:1E:D8:9D:CF, 54:27:1E:D8:9D:CE

    ОтветитьУдалить
  42. This is new variant of STOP ransomware. You need to write to the topic about this problem.
    https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
    Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.

    ОтветитьУдалить
  43. is there something i can do with my problem?

    Decrypted 0 files!
    Skipped 280 files.

    [!] No keys were found for the following IDs:
    [*] ID: uR1Ez16epV4zQ9EtHQQg9IPR6lex5D6wGPknicyF (.dotmap )
    Please archive these IDs and the following MAC addresses in case of future decryption:
    [*] MACs: E4:B3:18:86:22:01, E6:B3:18:86:21:FD, E6:B3:18:86:21:FE, E4:B3:18:86:21:FD, A0:8C:FD:9E:B1:61
    This info has also been logged to STOPDecrypter-log.txt

    ОтветитьУдалить
    Ответы
    1. You need to write to the topic about this problem.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.

      Удалить
  44. Hello, I need your help! I am doing information security in Vietnam. I have a problem with Ransomware ".format"
    can you help me?
    Can we exchange via email ?!
    I know. My English not good :D

    ОтветитьУдалить
    Ответы
    1. Hello!
      Files with extension .format decryptable only with OFFLINE ID: rDy9PQ5XqCEzGPAYiMtrOElRFd84gmoSzf1zJ8t1
      https://twitter.com/demonslay335/status/1156633462671122432
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-puma-djvu-promo-drume-help-support-topic/?p=4839272

      Удалить
  45. [+] Loaded 67 offline keys
    Please archive the following info in case of future decryption:
    [*] ID: gcHHxnoOwYHRVl7TXkAxlhASj14vAVxvmOWun2t1
    [*] MACs: E0:D5:5E:0D:11:BB, C2:25:E9:19:75:9E, C0:25:E9:19:75:9E, 00:AC:96:8E:D9:BC, 00:50:56:C0:00:01, 00:50:56:C0:00:08, C0:25:E9:19:75:9E
    This info has also been logged to STOPDecrypter-log.txt
    Selected directory: C:\Users\dorba\Desktop\LOGO
    Starting decryption...

    [+] File: C:\Users\dorba\Desktop\LOGO\MARVEL LOGO.ai.cosakos
    [-] No key for ID: gcHHxnoOwYHRVl7TXkAxlhASj14vAVxvmOWun2t1 (.cosakos )

    [+] File: C:\Users\dorba\Desktop\LOGO\MARVEL LOGO.eps.cosakos
    [-] No key for ID: gcHHxnoOwYHRVl7TXkAxlhASj14vAVxvmOWun2t1 (.cosakos )

    Decrypted 0 files!
    Skipped 2 files.

    [!] No keys were found for the following IDs:
    [*] ID: gcHHxnoOwYHRVl7TXkAxlhASj14vAVxvmOWun2t1 (.cosakos )
    Please archive these IDs and the following MAC addresses in case of future decryption:
    [*] MACs: E0:D5:5E:0D:11:BB, C2:25:E9:19:75:9E, C0:25:E9:19:75:9E, 00:AC:96:8E:D9:BC, 00:50:56:C0:00:01, 00:50:56:C0:00:08, C0:25:E9:19:75:9E
    This info has also been logged to STOPDecrypter-log.txt

    ОтветитьУдалить
    Ответы
    1. You need to write only to the topic about this problem.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.

      Удалить
  46. Nice post! I appreciate your efforts! Thanks for epitomizing all about STOP ransomware in one blog! However, I have read a lot about .todar file virus . on different platforms. Is it a big threat for computer users?

    ОтветитьУдалить
    Ответы
    1. This will not happen if you use comprehensive anti-virus protection of the Internet Security class.

      Удалить
  47. meu computador esta com o ransomware, na extensão masok. alguem consegue ajudar

    ОтветитьУдалить
    Ответы
    1. This is result of STOP Ransomware attack. You need to write to the topic about this problem.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 (decrypter's developer) keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.

      Удалить
  48. Alguem pode me ajudar?





    Nenhuma chave para o ID: m6mBexkJ9N4WEas7iwoXOWeJ33eFwT3aNQdsjCM2 (.masok)
    ID não identificado: m6mBexkJ9N4WEas7iwoXOWeJ33eFwT3aNQdsjCM2 (.masok)
    MACs: 18: 03: 73: 75: 57: 74, AC: 72: 89: 4D: 13: 77, AC: 72: 89: 4D: 13: 7B
    Decrypted 0 arquivos, ignorados 1

    ОтветитьУдалить
    Ответы
    1. You need to write only to the topic about this problem.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Demonslay335 keeps track of all this data to set up a STOPDecrypter for new STOP Ransomware variants. There are answers to popular questions.

      Удалить
  49. hi hello, below is nacro ransomware file

    ATTENTION!

    Don't worry, you can return all your files!
    All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
    The only method of recovering files is to purchase decrypt tool and unique key for you.
    This software will decrypt all your encrypted files.
    What guarantees you have?
    You can send one of your encrypted file from your PC and we decrypt it for free.
    But we can decrypt only 1 file for free. File must not contain valuable information.
    You can get and look video overview decrypt tool:
    https://we.tl/t-cHB0JgQAXy
    Price of private key and decrypt software is $980.
    Discount 50% available if you contact us first 72 hours, that's price for you is $490.
    Please note that you'll never restore your data without payment.
    Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.


    To get this software you need write on our e-mail:
    gorentos@bitmessage.ch

    Reserve e-mail address to contact us:
    gorentos2@firemail.cc

    Your personal ID:
    147Asd3768237IhsdfRZHCYFFCkqG7lPBkGhZx8Ss9rQZ8Ya45Cg4u5zQy

    Unidentified ID: RZHCYFFCkqG7lPBkGhZx8Ss9rQZ8Ya45Cg4u5zQy
    MACs: 00:FF:94:4B:FE:87, B4:B5:2F:89:32:C8, 74:E5:43:61:ED:93, 74:E5:43:62:83:F7
    ----------------------------------------
    STOPDecrypter v2.1.0.23
    OS Microsoft Windows NT 6.1.7601 Service Pack 1, .NET Framework Version 4.0.30319.34209
    ----------------------------------------

    No key for ID: RZHCYFFCkqG7lPBkGhZx8Ss9rQZ8Ya45Cg4u5zQy (.nacro )
    No key for ID: RZHCYFFCkqG7lPBkGhZx8Ss9rQZ8Ya45Cg4u5zQy (.pdf )
    Error: System.UnauthorizedAccessException: (5) Access is denied: [E:\$RECYCLE.BIN\S-1-5-18]
    at Alphaleonis.Win32.NativeError.ThrowException(UInt32 errorCode, String readPath, String writePath) in C:\Users\jjangli\Documents\GitHub\AlphaFS\AlphaFS\NativeError.cs:line 121
    at Alphaleonis.Win32.Filesystem.FindFileSystemEntryInfo.ThrowPossibleException(UInt32 lastError, String pathLp) in C:\Users\jjangli\Documents\GitHub\AlphaFS\AlphaFS\Filesystem\FindFileSystemEntryInfo.cs:line 409
    at Alphaleonis.Win32.Filesystem.FindFileSystemEntryInfo.FindFirstFile(String pathLp, WIN32_FIND_DATA& win32FindData, Boolean suppressException) in C:\Users\jjangli\Documents\GitHub\AlphaFS\AlphaFS\Filesystem\FindFileSystemEntryInfo.cs:line 297
    at Alphaleonis.Win32.Filesystem.FindFileSystemEntryInfo.d__88`1.MoveNext() in C:\Users\jjangli\Documents\GitHub\AlphaFS\AlphaFS\Filesystem\FindFileSystemEntryInfo.cs:line 466
    at STOPDecrypter.MainForm.DecryptDirectory(String location, Boolean delete)

    ОтветитьУдалить
    Ответы
    1. You need to write in the support topic.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/
      Due to the heavy workload of the STOP-Decrypter developer, only in this topic are all requests be recorded. Just write your info, you do not need to repeat many times. All cases are be recorded. Specify the extension, ID and copy the information from the decoder window. Need only this and the Demonslay335 will record it quickly.

      Удалить
  50. Sir my file are infected by .Masodas . I tried stop decrypter but it didn't work. please help me to recover my data.

    ОтветитьУдалить
    Ответы
    1. Take your time, wait for the decryptor to update. Perhaps next time, support for this variant with this extension will be implemented. If the files are encrypted with online keys (your ID will have more than 43 characters), then there is no way to decrypt the files in the near future.

      Удалить
  51. Ответы
    1. It is not simple. Write to the topic.
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/

      Удалить
  52. ATTENTION!

    Don't worry, you can return all your files!
    All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
    The only method of recovering files is to purchase decrypt tool and unique key for you.
    This software will decrypt all your encrypted files.
    What guarantees you have?
    You can send one of your encrypted file from your PC and we decrypt it for free.
    But we can decrypt only 1 file for free. File must not contain valuable information.
    You can get and look video overview decrypt tool:
    https://we.tl/t-sTWdbjk1AY
    Price of private key and decrypt software is $980.
    Discount 50% available if you contact us first 72 hours, that's price for you is $490.
    Please note that you'll never restore your data without payment.
    Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.


    To get this software you need write on our e-mail:
    gorentos@bitmessage.ch

    Reserve e-mail address to contact us:
    gerentoshelp@firemail.cc

    Your personal ID:
    0157HydtUdjsFFs6aPIb7fiAFIriOKcdaH1iwJIuJk1yOytKgGVJuMn


    MACs: 00:19:21:CA:7F:C5

    ОтветитьУдалить
  53. Hello. This is new variant of STOP Ransomware (extension .hese) cannot be decrypted using STOP Decrypter. Need another tool. Until it is created. Stay tuned for support topic updates.
    https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-tro-djvu-rumba-openmetxt-support-topic/

    ОтветитьУдалить
  54. Hi my pc is been affected by .meds my personal id is
    162Ad768734uygjdfgPq9d1D32xIxjAlRK7OkLl3utdbWN8syVVEm35xt1
    Please suggest solution

    ОтветитьУдалить
    Ответы
    1. Look my post
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-puma-djvu-promo-drume-help-support-topic/page-491#entry4866720

      Удалить
  55. Hello, my pc got infected by [+] Uploaded 87 keys offline
    Selected directory: F: \ ADVOCACIA \ DEFENSE - PREVIA DANI - 09.08
    Starting decryption ...

    [+] File: F: \ ADVOCACIA \ DEFENSE - PREVIA DANI - 09.08 \ DEFESA-PREVIA.docx.nesa
    [-] No keys for ID: iKipVw3BmOc23ENQ60ImYhCIv2GtVDPcfiBuDNw2 (.nesa)

    [+] File: F: \ ADVOCACIA \ DEFENSE - PREVIA DANI - 09.08 \ JARI.docx.nesa
    [-] No keys for ID: iKipVw3BmOc23ENQ60ImYhCIv2GtVDPcfiBuDNw2 (.nesa)

    Decrypted 0 files!
    Ignored 2 files.


    Below is the content, informing about the payment and the ID of my registration.
    They wrote this ...
    ATTENTION!

    Don't worry, you can return all your files!
    All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
    The only method of recovering files is to purchase decrypt tool and unique key for you.
    This software will decrypt all your encrypted files.
    What guarantees you have?
    You can send one of your encrypted file from your PC and we decrypt it for free.
    But we can decrypt only 1 file for free. File must not contain valuable information.
    You can get and look video overview decrypt tool:
    https://we.tl/t-UV4s8jgncB
    Price of private key and decrypt software is $980.
    Discount 50% available if you contact us first 72 hours, that's price for you is $490.
    Please note that you'll never restore your data without payment.
    Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.


    To get this software you need write on our e-mail:
    gorentos@bitmessage.ch

    Reserve e-mail address to contact us:
    gerentoshelp@firemail.cc

    Your personal ID:
    0166hTlGeRsiKipVw3BmOc23ENQ60ImYhCIv2GtVDPcfiBuDNw2

    ОтветитьУдалить
    Ответы
    1. STOP Decrypter now does not help with new versions of STOP. Your ID also will not help return the files.

      Удалить
    2. Also look here: https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-puma-djvu-promo-drume-help-support-topic/?p=4875051

      Удалить
  56. Please Help Me. My PC have been impacted by .noos
    how to return the files?

    ОтветитьУдалить
  57. ".bora" (v0171)
    Your personal ID:
    0171mHffO5PgpqzSRFybNF0LZtqlVNz33TBxgWe7qo9cu9Nt1
    help !
    help

    ОтветитьУдалить
    Ответы
    1. Probably, this is offline key
      Look here
      https://www.bleepingcomputer.com/forums/t/671473/stop-ransomware-stop-puma-djvu-promo-drume-help-support-topic/page-520#entry4876576
      Write in the support topic, if the decryption key wil l found for this variant, then the files can be decrypted.

      Удалить
  58. I have written multiple of times but you don't allow my comments.
    Please let me know the solution of .reco virus
    Personal ID: 0170Hf73y87gs0SbKY2IAcN69IyLYIhaI6jLpUVMHtyZoqIeVchVj
    Please help

    ОтветитьУдалить
  59. i have infected as well,. files cant decrypt too
    To get this software you need write on our e-mail:
    gorentos@bitmessage.ch

    Reserve e-mail address to contact us:
    amundas@firemail.cc

    Your personal ID:
    0171mHffOHlfeqHkLWnOG96n5uHlOHMz0ZrGKOAoHVuSRVVj8.
    please help thank you

    ОтветитьУдалить
  60. i have infected " .leto "
    ATTENTION!

    Don't worry, you can return all your files!
    All your files like photos, databases, documents and other important are encrypted with strongest encryption and unique key.
    The only method of recovering files is to purchase decrypt tool and unique key for you.
    This software will decrypt all your encrypted files.
    What guarantees you have?
    You can send one of your encrypted file from your PC and we decrypt it for free.
    But we can decrypt only 1 file for free. File must not contain valuable information.
    You can get and look video overview decrypt tool:
    https://we.tl/t-9POwROFXcM
    Price of private key and decrypt software is $980.
    Discount 50% available if you contact us first 72 hours, that's price for you is $490.
    Please note that you'll never restore your data without payment.
    Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.


    To get this software you need write on our e-mail:
    gorentos@bitmessage.ch

    Reserve e-mail address to contact us:
    amundas@firemail.cc

    Your personal ID:
    0172au5ewgSYfg72yLPMpAQroN0dKOs3a8xmHSQszSyZhuZdcsletot1

    ОтветитьУдалить
  61. Ответы
    1. Only this service can help you. If not now, then later, when there will be more keys. https://www.emsisoft.com/ransomware-decryption-tools/stop-djvu

      Удалить
  62. hi can you help memy data is infected with a .grod virusATTENTION!Don't worry, you can return all your files!All your files like photos, databases, documents and other important are encrypted with the strongest encryption and unique key.The only method of recovering files is to purchase the decrypt tool and unique key for you.This software will decrypt all your encrypted files.What guarantees you have?You can send one of your encrypted files from your PC and we decrypt it for free.But we can decrypt only 1 file for free. File must not contain valuable information.You can get and look at the video overview decrypt tool:https://we.tl/t-7YSRbcuaMaPrice of private key and decrypt software is $ 980.50% discount available if you contact us first 72 hours, that's the price for you is $ 490.Please note that you will never restore your data without payment.Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.To get this software you need to write on our e-mail:restorefiles@firemail.ccReserve your e-mail address to contact us:gorentos@bitmessage.chYour personal ID:0183Asd374y5iuhldbOfKxmHBVjmEOXNwlRVVMRPV8mhyw4qCPCS7OxI6example of my file infected with a virus:https://drive.google.com/open?id=10tQyms_PZouV6x54memKgugsrjsid6f0

    ОтветитьУдалить
  63. im infected by .COOT huh
    id : 7DVQvF8bX971ODky9qHHtbsTav94hZZ6YsTUmBjl
    any idea ?

    ОтветитьУдалить
    Ответы
    1. yes.
      https://www.emsisoft.com/ransomware-decryption-tools/free-download
      and support forum
      https://support.emsisoft.com/forum/83-help-my-files-are-encrypted/

      Удалить

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано. Чтобы написать комментарий, вы должны иметь аккаунт Google.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана. Каб напісаць каментар, вы павінны мець аккаунт Google.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано. Щоб написати коментар, ви повинні мати акаунт Google.

ПАЖЊА!!!
Нови коментари су модерирани. Све, осим спама, ускоро ће бити објављено. Да бисте напишете коментар, морате да имате Google рачун.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады. Пікір жазу үшін сізге google тіркелгісі болуы керек.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted. To write here a comment, you must have a Google account.

BEACHTUNG!!!
Ihr neuer Kommentar wird moderiert. Wiederhole es bitte nicht. Spam wird gelöscht. Um hier einen Kommentar zu schreiben, benötigen Sie ein Google-Konto.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

এটা পড়ুন !!!
আপনার নতুন মন্তব্য সংযত করা হবে। এটা পুনরাবৃত্তি করবেন না দয়া করে। স্প্যাম মুছে ফেলা হবে।

انتباه!
سيتم الإشراف على تعليقاتك الجديدة. لا تكررها من فضلك. سيتم حذف الرسائل غير المرغوب فيها.

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Получать письма / Follow by E-mail

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton