Если вы не видите здесь изображений, то используйте VPN.

понедельник, 12 августа 2019 г.

Scarab-Dharma

Scarab-Dharma Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->

© Генеалогия: Scarab >> другие Scarab-варианты > Scarab-Dharma
Это изображение — логотип статьи. Изображает скарабея и Дхарму.
This image is the logo of the article. It depicts a scarab with Dharma icon.

К зашифрованным файлам добавляется расширение: .[grethen@tuta.io]

Зашифрованные файлы переименовываются с помощью base64, примеры таких файлов: 
=ZSXAslzqVbYj6t6W5LdI7msd4C=pWPk+HlJByES+MPzGhJ2Bu4e8lI1tlXr9LukoWo.[grethen@tuta.io]
6HzOYeOaBKBgA=LkMJQ6XGyv8b1cqGOP0QiAT77COSEJjWLNCnbfvvxc8YjUKJCwdu8.[grethen@tuta.io]

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Этимология названия:
Вторая часть названия Scarab-Dharma обусловлена тем, что вымогатели, видимо, состоят или ранее состояли в другой преступной группе, которая долгое время распространяет Dharma Ransomware. Они заимствовали тип записки (HTA-файл) и текст из некоторых вариантов Dharma (слово в слово), а также совместили этот тип записки с текстовой запиской с таким же названием. 

Активность этого крипто-вымогателя пришлась на конец июля - начало августа 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются:
READ ME.TXT
READ ME.hta

Содержание записки READ ME.TXT:
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail grethen@tuta.io 
Write this ID in the title of your message
+4IAAAAAAA***6sZBLHk
In case of no answer in 3 hours write us to theese e-mails: grethen@protonmail.ch 
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee 
Before paying you can send us up to 1-3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.) 
How to obtain Bitcoins 
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
<https://localbitcoins.com/buy_bitcoins> 
Also you can find other places to buy Bitcoins and beginners guide here: 
<http://www.coindesk.com/information/how-can-i-buy-bitcoins/> 
Attention! 
Do not rename encrypted files. 
Do not try to decrypt your data using third party software, it may cause permanent data loss. 
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam. 

Перевод записки на русский язык:
Все ваши файлы были зашифрованы из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам на email grethen@tuta.io
Напишите этот ID в заголовке вашего сообщения
+ 4IAAAAAAA *** 6sZBLHk
В случае отсутствия ответа в течение 3 часов напишите нам на email: grethen@protonmail.ch
Вы должны платить за расшифровку в биткойнах. Цена зависит от того, как быстро вы напишите нам. После оплаты мы вышлем вам инструмент дешифрования, который расшифрует все ваши файлы.
Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить нам до 1-3 файлов для бесплатной расшифровки. Общий размер файлов должен быть менее 3 МБ (не в архиве), и файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т. д.)
Как получить биткойны
Самый простой способ купить биткойны - это сайт LocalBitcoins. Вы должны зарегистрироваться, нажать 'Buy bitcoins' и выбрать продавца по способу оплаты и цене.
<https://localbitcoins.com/buy_bitcoins>
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
<http://www.coindesk.com/information/how-can-i-buy-bitcoins/>
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою плату к нашей), или вы можете стать жертвой мошенничества.
---



Содержание записки READ ME.hta:
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail grethen@tuta.io
Write this ID in the title of your message 63 BD 46 54 29 54 34 20 *** A1 90 FB 1D C5 33
In case of no answer in 3 hours write us to theese e-mails: grethen@protonmail.ch
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 1-3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
https://localbitcoins.com/buy_bitcoins 
Also you can find other places to buy Bitcoins and beginners guide here: 
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.

Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Перевод записки на русский язык:
Такой же, как в текстовом сообщении, но с другим ID. 



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ ME.TXT
READ ME.hta
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: grethen@tuta.io, grethen@protonmail.ch
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Scarab Family (семейство Scarab):
Scarab (ScarabLocker) - июнь-август 2017, ноябрь 2017
Scarab-Scorpio (Scorpio) - июль 2017
Scarab-Jackie - октябрь 2017
Scarab-Russian (Scarabey) - декабрь 2017
Scarab-Decrypts - март 2018
Scarab-Crypto - март 2018
Scarab-Amnesia - март 2018
Scarab-Please - март 2018
Scarab-XTBL - апрель 2018
Scarab-Oblivion - апрель 2018
Scarab-Horsia - май 2018
Scarab-Walker - май 2018
Scarab-Osk - май 2018
Scarab-Rebus - май 2018
Scarab-DiskDoctor - июнь 2018
Scarab-Danger - июнь 2018
Scarab-Crypt000 - июнь 2018
Scarab-Bitcoin - июнь 2018
Scarab-Bomber - июнь 2018
Scarab-Omerta - июнь-июль 2018
Scarab-Bin - июль 2018
Scarab-Recovery - июль 2018
Scarab-Turkish - июль 2018
Scarab-Barracuda - июль 2018
Scarab-CyberGod - август 2018
Scarab-Enter - ноябрь 2018
Scarab-Aztec (Pizza) - декабь 2018
Scarab-Zzz - январь 2019
Scarab-Crash - январь 2019
Scarab-Gefest - январь 2019
Scarab-Artemy - февраль 2019
Scarab-Kitty - март 2019
Scarab-Monster - апрель 2019
Scarab-Dharma - июль-август 2019



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 myTweet
 ID Ransomware (ID as Scarab)
 Write-up, Topic of Support
 * 
 Thanks: 
 Emmanuel_ADC-Soft, Michael Gillespie
 Andrew Ivanov (author)
 *
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

YobaCrypt, Ferrlock

YobaCrypt Ransomware (all-in-one)

Ferrlock Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: ferrlock.pdb, написано на файле проекта. На файле написано: newjunior.exe

Обнаружения:
DrWeb -> Trojan.Siggen8.39726
BitDefender -> DeepScan:Generic.Ransom.GarrantDecrypt.B.*
Kaspersky -> Trojan.Win32.DelShad.aly

© Генеалогия: all-in-one >> YobaCrypt (Ferrlock)


Это изображение и есть Yoba

Этимология названия:
Имеется несколько вариантов расшифровки слова YOBA (Y.O.B.A., ЙОБА) — например, международный вариант: "Youth Oriented Bigot Approved". На самом деле это "Youth Oriented and Bydlo Approved" (Ориентированный на молодежь и одобренный быдлом). Сопровождается мем-фейсом (жёлтая рожица с перекошенным ртом и прищуренными глазами). 

К зашифрованным файлам добавляется расширение: .yoba
Фактически используется составное расширение: .[mr.yoba@aol.com].yoba


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало августа 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: !=How_recovery_files=!.txt


Содержание записки о выкупе:
Hi!
Do you want decrypt files?
Send us this code:
<CODE>SB3UqKR9yuBZn5Pxn4bU4m0tt8P7KfBfv+wosJHUjvd5xA51PDFeoyUaJB1CDxdIrO6XNrmyV6Ph/n/NSkUP14wgK/pd6UYAXY+AnWFoaCY7VpWEpP+8LrcCOHUkdznBbdfws7I7Ne4n1SvoVIIW//8ovYUGJeOVu56fnUCxdDZ768s1G91SvMHJdHlbe/tfoxm9QKipVnI6ucufjNJ8pSb3mX+K3VqbJ+O9cnnM6LUarDDgZdiKtbQPUEzkJ4abkAnw6QavdxS4pqmkWZVQrBJXIvvL6GV7wQ+ldoUA9BAxM+3+soR7KLHpHCt8jOHVRsBVgSnB6Qx10afnIXLPvg==</CODE>
Email: mr.yoba@aol.com

Перевод записки на русский язык:
Привет!
Хотите расшифровать файлы?
Отправьте нам этот код:
<CODE>SB3UqKR9yuBZn5Pxn4bU4m0tt8P7KfBfv+wosJHUjvd5xA51PDFeoyUaJB1CDxdIrO6XNrmyV6Ph/n/NSkUP14wgK/pd6UYAXY+AnWFoaCY7VpWEpP+8LrcCOHUkdznBbdfws7I7Ne4n1SvoVIIW//8ovYUGJeOVu56fnUCxdDZ768s1G91SvMHJdHlbe/tfoxm9QKipVnI6ucufjNJ8pSb3mX+K3VqbJ+O9cnnM6LUarDDgZdiKtbQPUEzkJ4abkAnw6QavdxS4pqmkWZVQrBJXIvvL6GV7wQ+ldoUA9BAxM+3+soR7KLHpHCt8jOHVRsBVgSnB6Qx10afnIXLPvg==</CODE>
Email: mr.yoba@aol.com



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Удаляет теневые копии файлов.


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
!=How_recovery_files=!.txt
newjunior.exe
<random>.exe - случайное название вредоносного файла
ferrlock.pdb

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
H:\Work\express\ferrlock\Release\ferrlock.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: mr.yoba@aol.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 25 сентября 2019:
Топик на форуме >>
Расширение: .yoba
Email: ferrlock@cock.li
Telegram: @helprestore
➤ Содержание записки: 
Hi!
Do you want decrypt files?
Send us this code:
<CODE>eFV6a6dSzrgP0CVs48CGP9Y7cDycPezaW6vIdC31KWNxzIgBYu***qnql5zgfGNe7eqbA==</CODE>
Email: ferrlock@cock.li

Telegram: @helprestore





=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 
 - видеообзор атаки YobaCrypt
 Thanks: 
 Alex Svirid
 Andrew Ivanov (author)
 ANY.RUN
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

среда, 7 августа 2019 г.

Arsium

Arsium Ransomware

(шифровальщик-вымогатель, крипто-строитель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: Builder 3 DLL.exe и Arsium Ransomware Builder [DLL] [DESKTOP].exe. 

Обнаружения на Builder:
DrWeb -> BackDoor.Cybergate.3997
ALYac -> Misc.Riskware.RansomBuilder
VBA32 -> Backdoor.Cybergate
Symantec -> Trojan.Gen.MBT

Обнаружения на ezfzef.exe:

DrWeb -> Trojan.Encoder.29225
BitDefender -> Trojan.GenericKD.32227067
ALYac -> Trojan.Ransom.Atrium

© Генеалогия: выясняется, явное родство с кем-то не доказано.


Изображение — только логотип статьи

К зашифрованным файлам добавляется расширение: .0000 или .0000.0000
или .0000.0000.0000
Вероятно, это только вариант по умолчанию и можно задать любое расширение. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя был найден в начале августа 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Хакерские инструменты с названием Arsium известны с апреля 2019 года (загрузчики, RAT и другие).

Запиской с требованием выкупа выступает экран программы с настраиваемыми параметрами. 




Содержание записки о выкупе:
***

Перевод записки на русский язык:
***



Технические детали

Распространяется на форумах кибер-подполья в числе прочих хакерских инструментах с тем же названием. Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Использует легитимные программы ILMerge, Rebex Common (Trial), Rebex Security (Trial) для создания шифровальщика и настройки его параметров.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ezfzef.exe
<random>.exe - случайное название вредоносного файла
Arsium Ransomware Builder [DLL] [DESKTOP].rar
Arsium Ransomware Builder [DLL] [DESKTOP].exe

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\admin\AppData\Local\Temp\ezfzef.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >> HA ezfzef.exe >>
𝚺  VirusTotal analysis >>  VT>> VT ezfzef.exe >>
🐞 Intezer analysis >>  IA ezfzef.exe >>
ᕒ  ANY.RUN analysis >>  AR >>  AR ezfzef.exe >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Arsium)
 Write-up, Topic of Support
 * 
 Thanks: 
 James, Raby, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

пятница, 2 августа 2019 г.

Proced

Proced Ransomware

Polish HT Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Proced. На файле написано: WindowsFormsApp1.exe

Обнаружения:
DrWeb -> Trojan.Encoder.29383
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
Avira (no cloud) -> TR/Ransom.dplwq
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AK
Rising -> Ransom.Gen!8.DE83 (TFE:*)
Symantec -> Trojan Horse
TrendMicro -> Ransom_RAMSIL.SM
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: HiddenTear >> Proced (Polish HT)


Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .proced


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась конец июля - начало августа 2019 г. Также был замечен в сентябре 2019. Ориентирован на польских пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: READ_IT.txt

Также запиской с требованием выкупа выступает экран блокировки: 


Содержание записки о выкупе:
Twoje pliki zostały zaszyfrowane.
Proszę wpłacić równowartość 200 PLN na konto BITCOIN:
1DVzrQv2URtZo5ZoXqLKi9X5E8rH7xH1mD
Potwierdzenie płatności odbywa się ręcznie w ciągu 24h.
Po zatwierdzeniu płatności na stronie
http://apjae73voyttfmu3.onion.ly/?hash=1DVzrQv2URtZo5ZoXqLKi9X5E8rH7xH1mD
uzyskasz instrukcję wraz z hasłem na temat sposobu odszyfrowania plików.
Na stronie możesz odszyfrować jeden plik za darmo.
Kopia wiadomości dostępna w pliku READ_IT.txt na pulpicie.

Перевод записки на русский язык:
Ваши файлы зашифрованы.
Заплатите равноценно 200 злотых на счет BITCOIN:
1DVzrQv2URtZo5ZoXqLKi9X5E8rH7xH1mD
Оплата подтверждается вручную в течении 24 часов.
После подтверждения оплаты на сайте
http://apjae73voyttfmu3.onion.ly/?hash=1DVzrQv2URtZo5ZoXqLKi9X5E8rH7xH1mD
вы получите инструкции с паролем о том, как расшифровать ваши файлы.
На сайте можно бесплатно расшифровать один файл.
Копия сообщения доступна в файле READ_IT.txt на рабочем столе.




Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
WindowsFormsApp1.exe
READ_IT.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://apjae73voyttfmu3.onion.ly
Полная ссылка: xxxx://apjae73voyttfmu3.onion.ly/write.php?computer_name=NQDPDE&userName=FD1HVy&password=2fhm=B=7XiRPv16&allow=ransom
Email:
BTC: 1DVzrQv2URtZo5ZoXqLKi9X5E8rH7xH1mD
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware (ID as HiddenTear)
 Write-up, Topic of Support
 * 
 Thanks: 
 MalwareHunterTeam, Ravi
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

четверг, 1 августа 2019 г.

Relock

Relock Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью XOR, хотя в записке сообщает об алгоритмах Rabbit, secp256k1, NTRU, а затем требует написать на email, чтобы узнать, как заплатить выкуп и вернуть файлы. Оригинальное название: R E  L O C K, указано в записке. 

Обнаружения:
DrWeb ->
BitDefender ->

© Генеалогия: выясняется, явное родство с кем-то не доказано.
Изображение — только логотип статьи

К зашифрованным файлам добавляется расширение, состоящее из группы цифр, например, .76543210


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец июля - начало августа 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Первые пострадавшие обращались за помощью на русскоязычные форумы бесплатной помощи. 

Записки с требованием выкупа называются:
FIX_Instructions.txt
FIX_Instructions.hta


Содержание записки FIX_Instructions.txt:
 ########################|--++++++++++++++--|########################
 #                       |   R E  L O C K   |                       #
 ########################|--++++++++++++++--|########################
 [$$ Why i can't open any file? $$]
 Your files have been encrypted with symmetric encryption algorithm: Rabbit
 and two assymetric encryption algorithms: secp256k1, NTRU
 secp256k1: 
 https://en.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm 
 Rabbit: https://en.wikipedia.org/wiki/Rabbit_(cipher)
 NTRU: https://en.wikipedia.org/wiki/NTRUEncrypt 
 You can't restore your files yourself without secp256k1 Diffie Hellman's secret, 
 you can see encrypted version of this secret below, only we can decrypt this 
 string because only we have private NTRU key.
 If you want to restore your files
 you must pay some funds.
 [$$ What's guarantees? $$]
 We don't interested in scam. If you pay we will send you 
 software that unlock your files. 
 Also we can decrypt one file for test (file size must be < 1024KB). 
 [$$ How can i contact with you? $$]
 you must write here ( mr.yoba@aol.com )
 and send string that you can see below.
 WARNING!
 1) Someone else's decryption software can't help you,
 it will break your data.
 2) Don't try to fix files yourself or use another software, 
 it will break your data.
 Diffie Hellman's secret (encrypted version):
 -----BEGIN RELOCK KEY-----
 { 25, 20, 0, 32, 35, 118, 68, 51, 22, 78, 8, 45, 41, 19, *** };
 { 35, 34, 108, 22, 57, 26, 83, 39, 111, 38, 82, 116, 53, *** };
 { 68, 88, 95, 80, 120, 75, 107, 106, 56, 17, 7, 58, 32, *** };
------END RELOCK KEY-----
 ########################################################################

Перевод записки на русский язык:
[$$ Почему я не могу открыть файл? $$]
 Ваши файлы были зашифрованы с помощью симметричного алгоритма шифрования: Rabbit
 и двух ассиметричных алгоритмов шифрования: secp256k1, NTRU
 secp256k1: 
 https://en.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm
 Rabbit: https://en.wikipedia.org/wiki/Rabbit_(cipher)
 NTRU: https://en.wikipedia.org/wiki/NTRUEncrypt
 Вы не можете восстановить свои файлы самостоятельно без secp256k1 секрета Диффи Хеллмана,
 Вы можете увидеть зашифрованную версию этого секрета ниже, только мы можем расшифровать эту  строку, потому что только у нас есть закрытый ключ NTRU.
 Если вы хотите восстановить ваши файлы
 Вы должны заплатить некоторые средства.
 [$$ Какие гарантии? $$]
 Мы не заинтересованы в мошенничестве. Если вы заплатите, мы вышлем вам программу, которая разблокирует ваши файлы.
 Также мы можем расшифровать один файл для теста (размер файла должен быть <1024 КБ).
 [$$ Как я могу с тобой связаться? $$]
 Вы должны написать здесь (mr.yoba@aol.com) и отправьте строку, которую вы можете увидеть ниже.
 ПРЕДУПРЕЖДЕНИЕ!
1) Чужая программа для расшифровки не может вам помочь, оно сломает ваши данные.
 2) Не пытайтесь исправить файлы самостоятельно или использовать другую программу, оно сломает ваши данные.
Секрет Диффи Хеллмана (зашифрованная версия):
 -----BEGIN RELOCK KEY-----
 { 25, 20, 0, 32, 35, 118, 68, 51, 22, 78, 8, 45, 41, 19, *** };
 { 35, 34, 108, 22, 57, 26, 83, 39, 111, 38, 82, 116, 53, *** };
 { 68, 88, 95, 80, 120, 75, 107, 106, 56, 17, 7, 58, 32, *** };
------END RELOCK KEY-----
 ########################################################################



Содержание записки FIX_Instructions.hta:
RELOCK RANSOMWARE
Instructions 
Why i can't open any file?
Your files have been encrypted with symmetric encryption algorithm: Rabbit
and two assymetric encryption algorithms: secp256k1, NTRU
secp256k1: https://en.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm 
Rabbit: https://en.wikipedia.org/wiki/Rabbit_(cipher) 
NTRU: https://en.wikipedia.org/wiki/NTRUEncrypt 
You can't restore your files yourself without secp256k1 Diffie Hellman's secret,
you can see encrypted version of this secret below, only we can decrypt this
string because only we have private NTRU key.
If you want to restore your files
you must pay some funds.
What's guarantees?
We don't interested in scam. If you pay we will send you
software that unlock your files.
Also we can decrypt one file for test (file size must be < 1024KB).
How can i contact with you?
you must write here ( mr.yoba@aol.com )
and send string that you can see below.
WARNING!
1) Someone else's decryption software can't help you, it will break your data.
2) Don't try to fix files yourself or use another software, it will break your data.
Diffie Hellman's secret (encrypted version):
-----BEGIN RELOCK KEY-----
 { 25, 20, 0, 32, 35, 118, 68, 51, 22, 78, 8, 45, *** };
 { 35, 34, 108, 22, 57, 26, 83, 39, 111, 38, 82, *** };
 { 68, 88, 95, 80, 120, 75, 107, 106, 56, 17, 7, *** };
------END RELOCK KEY-----
#####################################################################

Перевод записки на русский язык:
Аналогичен текстовому. 



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
FIX_Instructions.txt
FIX_Instructions.hta
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: mr.yoba@aol.com
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Файлы можно расшифровать!
Нужно обратиться за помощью к thyrex на форум по ссылке >>
***
 Read to links: 
 Tweet on Twitter + myTweet
 ID Ransomware (ID as Relock)
 Write-up, Topic of Support
 * 
 Thanks: 
 Alex Svirid
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

Постоянные читатели

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *