среда, 21 февраля 2018 г.

DataKeeper

DataKeeper Ransomware

(шифровальщик-вымогатель, RaaS)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES и RSA-4096, а затем требует выкуп в 0.03 BTC (сумма разная), чтобы вернуть файлы. Оригинальное название: Data Keeper. На файле написано: Contriver и Upgrowth.
шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: выясняется.

К зашифрованным файлам никакое расширение не добавляется. 

Активность этого крипто-вымогателя пришлась на вторую половину февраля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: !!! ##### === ReadMe === ##### !!!.htm

Содержание записки о выкупе:
All files in this directory have been encrypted.
For decrypt files:
Download Tor Browser
Run it
For create decryption keys, copy link at the bottom of this page and paste to the address bar and go it
If count of links greather than one, next link must be added ONLY AFTER PAYMENT FOR PREVIOUS KEY.
Links for create decryption keys:
(Do not change the "token" parameter otherwise your data will be lost)
[***URL***]

Перевод записки на русский язык:
Все файлы в этой директории зашифрованы.
Для расшифровки файлов:
Скачайте Tor Browser
Запустите его
Для создания ключей дешифрования скопируйте ссылку внизу страницы и вставьте её в адресную строку и перейдите по ней
Если ссылок больше одной, следующая ссылка должна быть добавлена ТОЛЬКО ПОСЛЕ ОПЛАТЫ ЗА ПРЕДЫДУЩИЙ КЛЮЧ.
Ссылки для создания ключей дешифрования:
(Не изменяйте параметр «токен», иначе ваши данные будут потеряны)
[***URL***]


Платежное сообщение на сайте вымогателей

При распространении как RaaS предлагается следующее описание. 
Страница "About"

Содержание описания:
About
This page about program was named "Data Keeper". This program cryptes data when it launched on MS Windows operation systems.
Functions and properties
1. Free for download and use.
2. When your victim payed, you will get a reward in bitcoins (BTC).
3. Customized victim's payment amount in BTC.
4. Each executable file will be creatied with unique compilation's token and unique RSA-4096 key pair.
5. The possibility of attaching your document (xls, pdf, doc & etc. files) to output executable.
6. Protected & obfuscated source code and compiled modules.
7. Without using command server: only TOR hidden service link generated when data encrypted.
8. High performance: encrypt random first 100-300 MB for large files.
9. Main module sleeps in memory 3-60 seconds before starts.
10. Multithread encrypting.
11. Optional: try running with administrative rights. If it happened then restore system points will be removed.
12. Optional encrypt all network shares in all subnets computers.
13. Planned: additional mailer program for automatic generate eml-files from csv-database.
Click here to register.
News
2018-01-12 00:00:00
Released.

Перевод на русский язык:
О программе
Эта страница о программе была названа "Data Keeper". Эта программа шифрует данные при запуске ОС Windows.
Функции и свойства
1. Бесплатно для скачивания и использования.
2. Когда ваша жертва заплатит, вы получите вознаграждение в биткоbнах (BTC).
3. Индивидуальная сумма оплаты жертвы в BTC.
4. Каждый исполняемый файл будет создан с уникальным маркером компиляции и уникальной парой ключей RSA-4096.
5. Возможность подключения вашего документа (файлы xls, pdf, doc и т.д.) для вывода исполняемого файла.
6. Защищенный и запутанный исходный код и скомпилированные модули.
7. Без использования командного сервера: только скрытая служебная ссылка TOR, сгенерированная при шифровании данных.
8. Высокая производительность: шифрование случайных первых 100-300 МБ для больших файлов.
9. Главный модуль спит в памяти 3-6 секунд до начала.
10. Многопоточное шифрование.
11. Необязательно: попробуйте запустить с правами администратора. Если это произойдет, восстановление системных точек будет удалено.
12. Дополнительно шифруйте все сетевые ресурсы на всех компьютерах подсетей.
13. Запланировано: дополнительная почтовая программа для автоматической генерации eml-файлов из csv-базы данных.
Нажмите здесь, чтобы зарегистрироваться.
Новости
2018-01-12 00:00:00
Выпущен.

Представлено также описание декриптера.
Другие скриншоты можно увидеть в статье на BC, которая была написана на три дня позже моей (ссылка от 24 февраля в "блоке ссылок и спасибок" ниже). 


Технические детали

Распространяется как RaaS 
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
DataKeeper.exe.exe (DataKeeper.exe)
random.exe - случайное название
Decryptor.exe
!!! ##### === ReadMe === ##### !!!.htm

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://3whyfziey2vr4lyq.onion/
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
VirusTotal анализ >>
VirusTotal анализ Decryptor.exe >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===


Обновление от 7 апреля 2018:
Пост в Твиттере >>
Записка: !!! ##### === ReadMe === ##### !!!.htm
Результаты анализов: VT
См. видеообзор ниже. 


=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as DataKeeper)
 Write-up, Topic of Support
 🎥 Video review >>
 - видеообзор от CyberSecurity GrujaRS
Added later:
Write-up (added on February 24, 2018)
Tweet by CyberSecurity GrujaRS (April 7, 2018)
 Thanks: 
 S!Ri
 Michael Gillespie
 Catalin Cimpanu 
 MalwareHunterTeam
 

© Amigo-A (Andrew Ivanov): All blog articles.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton