Boris HT Ransomware
(шифровальщик-вымогатель)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (режим CBC), а затем требует написать на email и заплатить выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: нет данных. На файле написано: hidden-tear.exe.
© Генеалогия: HiddenTear >> Boris HT
К зашифрованным файлам добавляется расширение .boris
Фактически используется составное расширение: [decode77@sfletter.com].boris
Пример зашифрованного файла: My_Document[decode77@sfletter.com].boris
Обратите внимание, что после имени файла нет точки.
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Активность этого крипто-вымогателя пришлась на конец июня -начало июля 2018 г. Одни варианты ориентированы на англоязычных пользователей, другие — на русскоязычных пользователей.
Записка с требованием выкупа называется: README.txt
Содержание записки о выкупе (английский вариант):
Your files are encrypted! If you want to restore data email decode77@sfletter.com: ****************
Перевод записки на русский язык:
Ваши файлы зашифрованы! Если хотите вернуть данные email decode77@sfletter.com: ****************
Содержание записки о выкупе (русскоязычный вариант):
Все ваши файлы зашифрованы! Напишите на почту decode77@sfletter.com сообщив уникальный код: ***
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. ➤ Информация отправляется на сайт testdecode77.000webhostapp.com
Список файловых расширений, подвергающихся шифрованию:
.1CD, .csv, .DBF, .doc, .docx, .dt, .mdb, .pdf, .rar, .sln, .sql, .xls, .xlsx, .zip,
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
README.txt
hidden-tear.exe
<random>.exe - случайное название
Файл проекта:
%USERPROFILE%\Desktop\hidden-tear\hidden-tear\obj\Debug\svhost.pdb
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
URL: xxxx://testdecode77.000webhostapp.com/write.php***
Email: decode77@sfletter.com
Почтовый сервис: sfletter.com
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺 VirusTotal анализ >>
ᕒ ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ VMRay анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание! Файлы в некоторых случаях можно дешифровать! Обращайтесь по этой ссылке к консультантам форума >>
Read to links: Tweet on Twitter + Tweet ID Ransomware (ID as HiddenTear) Write-up, Topic of Support *
Thanks: Michael Gillespie, Alex Svirid Andrew Ivanov * *
© Amigo-A (Andrew Ivanov): All blog articles.
