вторник, 28 августа 2018 г.

CryptoNar

CryptoNar Ransomware 

CryptoJoker 2018

(шифровальщик-вымогатель)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $200 в BTC, чтобы вернуть файлы. Оригинальное название: CryptoNar и Crypto Nar 1.0. На файле написано: CryptoNar.exe. Разработка: CryptoJoker A.E

© Генеалогия: ExecutionerCryptoJoker 2017 > ExecutionerPlus > CryptoNar
Изображение граната - это только логотип статьи

Этимология названия:
Nar - на турецком и азербайджанском: гранат

К зашифрованным файлам добавляются расширения:
.fully.cryptoNar - при полном шифровании;
.partially.cryptoNar - при частичном шифровании.

Точнее:
Файлы с расширениями .txt или .md шифруются целиком и к имени зашифрованного файла добавляется расширение .fully.cryptoNar

Файлы всех остальных типов шифруются частично (только первые 1024 байта) и получают расширения .partially.cryptoNar


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец августа 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: CRYPTONAR RECOVERY INFORMATION.txt 
Содержание записки о выкупе:
Your important files including photos, videos, documents, databases, etc. Were encrypted with our CryptoNar ransomware. The only way to get your files back is to pay us. Otherwise, your files will be lost forever.
Important note: Removing CryptoNar will not restore access to your encrypted files.
Encryption was made using a unique RSA-2048 public key generated for this computer, to decrypt files you need to acquire the private key (decryption key).
The only copy of the private key, which will allow you to decrypt your files, is located on a secret server in the Internet; the server will eliminate the key after 72 hours since its generation (since the moment your computer was infected), once this has been done, nobody will ever be able to restore your files.
In order to receive your decryption key, you will have to pay $200 in bitcoins to this bitcoin address: 1FeutvrVeiF8Qdnnx9Rr3CyBfHBCFeKWPq
When time comes to send the bitcoins to us, make sure to include your e-mail and your personal ID (you can see it below) in the extra information box (it may apper also as 'Extra Note' or 'optional message') in order to get your personal decryption key. It may take up to 6-8 hours to take your personal decryption key.
After the payment was made, and you received your decryption key, just press the decryption button in the decryptor (located on the desktop). Enter your decryption key you received, and wait until the decryption process is done.
Your ID: BCBEF350078BFBFF000206A7

Перевод записки на русский язык:
Ваши важные файлы, включая фото, видео, документы, базы данных и т. Д. Зашифрованы с помощью нашего CryptoNar ransomware. Единственный способ вернуть ваши файлы - это заплатить нам. В противном случае ваши файлы будут потеряны навсегда.
Важное примечание. Удаление CryptoNar не приведет к восстановлению доступа к вашим зашифрованным файлам.
Шифрование было выполнено с уникальным открытым ключом RSA-2048, сгенерированным для этого компьютера, для дешифрования файлов, необходимых для получения секретного ключа (ключ дешифрования).
Единственная копия закрытого ключа, которая позволит вам расшифровать ваши файлы, находится на секретном сервере в Интернете; сервер удалит ключ через 72 часа с момента его создания (с момента заражения вашего компьютера), как только это будет сделано, никто никогда не сможет восстановить ваши файлы.
Чтобы получить ключ дешифрования, вам придется заплатить $200 в биткоинах на этот биткоин-адрес: 1FeutvrVeiF8Qdnnx9Rr3CyBfHBCFeKWPq
Когда придет время отправить нам биткоины, обязательно добавьте свой email и свой личный ID (вы можете увидеть его ниже) в дополнительном информационном поле (оно может также использоваться как «Особая записка» или «опциональное сообщение») чтобы получить ваш личный ключ дешифрования. Для принятия вашего личного ключа дешифрования может потребоваться до 6-8 часов.
После того, как платеж был сделан, и вы получили ключ дешифрования, просто нажмите кнопку дешифрования в дешифраторе (расположенном на рабочем столе). Введите полученный ключ дешифрования и дождитесь завершения процесса дешифрования.
Ваш ID: BCBEF350078BFBFF000206A7

Информатором жертвы также выступает экран блокировки:



Технические детали

Распространяется как триал-резет к продуктам Kaspersky. 
На скриншоте видно название файла проекта kasperskytrialreset.pdb и связь с предыдущим CryptoJoker Ransomware (2017 года) и его запиской CryptoJoker Recovery Information.txt

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ UAC не обходит. Требуется разрешение на запуск. 

➤ Файлы с расширениями .txt или .md шифруются целиком и к имени зашифрованного файла добавляется расширение .fully.cryptoNar
Параметры для файлов .txt и .md и других


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
CRYPTONAR RECOVERY INFORMATION.txt 
CryptoNar.exe
asdfc4.exe
<random>.exe - случайное название
narnar - название проекта
kasperskytrialreset.pdb - файл проекта CryptoNarDecryptor.exe
 
Оригинальный файл CryptoNarDecryptor.exe

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
CryptNarWalker90912
CryptNarWalkerDecryptor90912
Global\.net clr networking

Сетевые подключения и связи:
➤ Домены: smtp.zoho.eu
config.edge.skype.com
s-0001.s-msedge.net
client-office365-tas.msedge.net
afdo-tas-offload.trafficmanager.net
vip5.afdorigin-prod-bl02.afdogw.com
➤ IP: 185.20.209.34
13.107.3.128
40.121.213.159
157.56.120.208
95.222.164.48
 Email: johnstang@zoho.eu
johnsmith987654@tutanota.com
➤ BTC: 1FeutvrVeiF8Qdnnx9Rr3CyBfHBCFeKWPq
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ  VMRay анализ >>
ᕒ  ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


Дешифрование возможно!
Инструкции от Майкла >>


=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Executioner Ransomware - начало июня 2017
CryptoJoker 2017 Ransomware - середина июня 2017
ExecutionerPlus Ransomware - декабрь 2017
CryptoNar Ransomware - август 2018



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===


Обновление от 5 сентября 2018:
Пост в Твиттере >>
К зашифрованным файлам добавляются расширения:
.fully.cryptoloker - при полном шифровании;


.partially.cryptoloker - при частичном шифровании.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание!
Файлы можно дешифровать!
Вы можете скачать CryptoJokerDecrypter по ссылке >>
 - Видеообзор от CyberSecurity GrujaRS
 Read to links: 
 Tweet on Twitter + Tweet + Tweet
 ID Ransomware (ID as ExecutionerPlus)
 Write-up, Topic of Support
 * 
 Thanks: 
 Michael Gillespie, MalwareHunterTeam
 Lawrence Abrams, BleepingComputer
 GrujaRS, Andrew Ivanov
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано. Чтобы написать комментарий, вы должны иметь аккаунт Google.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана. Каб напісаць каментар, вы павінны мець аккаунт Google.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано. Щоб написати коментар, ви повинні мати акаунт Google.

ПАЖЊА!!!
Нови коментари су модерирани. Све, осим спама, ускоро ће бити објављено. Да бисте напишете коментар, морате да имате Google рачун.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады. Пікір жазу үшін сізге google тіркелгісі болуы керек.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted. To write here a comment, you must have a Google account.

BEACHTUNG!!!
Ihr neuer Kommentar wird moderiert. Wiederhole es bitte nicht. Spam wird gelöscht. Um hier einen Kommentar zu schreiben, benötigen Sie ein Google-Konto.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

এটা পড়ুন !!!
আপনার নতুন মন্তব্য সংযত করা হবে। এটা পুনরাবৃত্তি করবেন না দয়া করে। স্প্যাম মুছে ফেলা হবে।

انتباه!
سيتم الإشراف على تعليقاتك الجديدة. لا تكررها من فضلك. سيتم حذف الرسائل غير المرغوب فيها.

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Получать письма / Follow by E-mail

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton