RansomUserLocker

RansomUserLocker Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 1 BTC, чтобы вернуть файлы. Оригинальное название: RansomUserLocker. На файле написано: RansomUserLocker.exe

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: HiddenTear >> Korean Talk > RansomUserLocker

К зашифрованным файлам добавляется расширение .RansomUserLocker

Активность этого крипто-вымогателя пришлась на вторую половину января 2018 г. Ориентирован на корейскоязычных пользователей, что не мешает распространять его по всему миру. Вероятно, пока находится в разработке. 

Записка с требованием выкупа называется: Read_Me.txt
Запиской с требованием выкупа выступает экран блокировки.

Содержание текста о выкупе:
Your ID DEA7-F40B-5629-2EF5-0EDA-C2A0-8990-0CF5-56DT
*** текст на корейском ***

Перевод текста на русский язык (примерный перевод автора блога):
Your ID DEA7-F40B-5629-2EF5-0EDA-C2A0-8990-0CF5-56DT
1. Что случилось с вашим компьютером?
Ваши личные файлы, включая ваши фото, документы, видео и другие важные файлы были зашифрованы с RSA-4096, сильным алгоритмом шифрования. Алгоритм RSA генерирует открытый и закрытый ключи для вашего компьютера. Открытый ключ был использован для шифрования файлов. Закрытый ключ нужен, чтобы расшифровать и восстановить файлы. Ваш закрытый ключ хранится на нашем секретном сервере. Никто не сможет восстановить ваши файлы без этого ключа.
2. Как расшифровать мои файлы?
Для расшифровки и восстановления файлов вы должны заплатить за секретный ключ и дешифровку. У вас есть только 72 часа чтобы сделать оплату. Если оплата не будет сделана за это время, то ваш закрытый ключ будет автоматически удалён с нашего сервера. Не тратьте своё время, т.к. нет никакого другого пути, чтобы восстановить ваши файлы, кроме оплаты выкупа. 
3. Как заплатить за мой личный ключ?
Выполните следующие шаги для оплаты и восстановления файлов:
1). Оплата возможна только в биткоинах. Поэтому, пожалуйста, купите 1 BTC, а затем отправьте по указанному ниже адресу. 
2). Пришлите ваш ID (Personal ID) на наш официальный email-адрес ниже: 
Official Mail: owerhacker@hotmail.com
Обязательно проверьте свою личную информацию. Пожалуйста, воздержитесь от оскорблений и отправьте мне email в тот же день.
Ваш персональный ID указан в заголовке этого экрана. 
3). Вы получите дешифратор и закрытый ключ для восстановления всех файлов за один рабочий день.
4. Как найти и купить биткоины?
Приобретите и отправьте 1 биткоин на наш биткоин-кошелек: 1HB5XMLmzFVj8ALj6mfBsbitRoD4miY36v
1) ***
2) ***
3) ***
4) Пожалуйста, купите биткоины и отправьте ваш ID по почте на наш официальный email-адрес.
Мы не хорошие люди. Но мы должны держаться в той области, где мы это делаем.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Read_Me.txt
RansomUserLocker.exe

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: owerhacker@hotmail.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID under HiddenTear)
 Write-up, Topic of Support
 * 

 Thanks: 
 Lawrence Abrams‏, BleepingComputer
 Michael Gillespie
 Andrew Ivanov
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.