GottaCry

GottaCry Ransomware

(фейк-шифровальщик) (первоисточник)
Translation into English

Этот крипто-вымогатель делает вид, что шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC или $70 в Paypal, чтобы вернуть файлы. Оригинальное название: GottaCry. На файле написано: GottaCry.exe
---
Обнаружения: 
DrWeb -> Trojan.Ransom.626
ALYac -> Trojan.Ransom.GottaCry
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> A Variant Of MSIL/Hoax.FakeFilecoder.EF
Malwarebytes -> Trojan.FakeRansom
Symantec -> Ransom.Gen
---

© Генеалогия: выясняется, явное родство с кем-то не доказано.

Изображение — логотип статьи

К незашифрованным файлам никакое расширение не добавляется.


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки, в котором есть слова "encryptor" и "Decryptor" одновременно. 

Содержание записки о выкупе:
GottaCry | Windows encryptor
GottaCry | Windows Decryptor 2019 ©
Your computer has been encrypted
All your files were encrypted
If you turn off your computer, we will leak all your passwords and will delete your computer
All your desktop files were moved to my server until payment is done
All of your passwords were recovered into my servers
---
Unlock password [...][Unlock]
Contact onty on discord!
DISCORD: Russen#6061
discord link (click)
50$ bitcoin or 70$ paypal
 [1HfdBrUDYZ1rCdQcgBt84Ja7JoYhHDqNcg] [Copy]

Перевод записки на русский язык:
GottaCry | Windows encryptor
GottaCry | Windows Decryptor 2019 ©
Ваш компьютер был зашифрован
Все ваши файлы были зашифрованы
Если вы выключите компьютер, мы утечем все ваши пароли и удалим ваш компьютер
Все ваши файлы рабочего стола были перемещены на мой сервер, пока не будет произведена оплата
Все ваши пароли были восстановлены на моих серверах
---
Разблокировать пароль [...] [Unlock]
Контакт только в discord
DISCORD: Russen#6061
discord ссылка (клик)
50$ bitcoin или 70$ paypal
 [1HfdBrUDYZ1rCdQcgBt84Ja7JoYhHDqNcg] [Copy]

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ UAC не обходит. Требуется разрешение на запуск.

Список файловых расширений, подвергающихся шифрованию:
Файлы не шифруются. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
GottaCry.exe
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\GottaCry
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Anchor Underline
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Settings\Anchor Color
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\AppContext
HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\DbgJITDebugLaunchSetting
HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\DbgManagedDebugger
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: -
DISCORD: Russen#6061
BTC: 1HfdBrUDYZ1rCdQcgBt84Ja7JoYhHDqNcg
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Raby
 Andrew Ivanov (author)
 *
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.