суббота, 16 января 2021 г.

DeroHE

DeroHE Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей компьютеров, а затем требует выкуп в 200 DERO (криптовалюта, по курсу $100), чтобы вернуть файлы. Вымогатели обещают вернуть каждому пострадавшему по $500, когда DERO сравняется в цене с долларом (они обещают, что это будет скоро). Оригинальное название: в записке не указано. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.33383
BitDefender -> ***
ALYac -> Trojan.Ransom.DeroHE
Avira (no cloud) -> ***
ESET-NOD32 -> A Variant Of WinGo/Filecoder.DeroHE.A
Kaspersky -> HEUR:Trojan-Ransom.Win32.Crypmod.gen
Malwarebytes -> Trojan.FakeIObitLicense!1.D16F (CLASSIC)
Microsoft -> Program:Win32/Wacapew.C!ml, Trojan:Win32/Ymacco.AAB5
Qihoo-360 -> Win32/Trojan.Ransom.709
Rising -> ***
Symantec -> Trojan.Gen.NPE, ML.Attribute.HighConfidence
Tencent -> ***
TrendMicro -> Ransom.Win32.DEROHE.THAAIBA
---

© Генеалогия: ??? >> DeroHE

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .DeroHE

Этимология названия:
DeroHE — это сокращение от The DERO Homomorphic Encryption
Не буду описывать, что это такое. Вот ссылки для чтения:
xxxs://twitter.com/DeroProject
xxxxs://testnetexplorer.dero.io/
xxxs://github.com/deroproject/derohe
xxxxs://github.com/deroproject/derohe/blob/main/Readme.md
xxxxs://medium.com/deroproject/testnet-release-dhebp-fc3edfbe0046

The DERO Homomorphic Encryption screenshot


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на 16 января 2021 года. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Согласно первым сообщениям пострадавших, были атакованы участники форума forums.iobit.com. Кто-то опубликовал ссылку на вредоносный файл, распространяемый как промоакция на 1 год. 

 forums.iobit.com fake-free action

Записка с требованием выкупа называется: READ_TO_DECRYPT.html 

DeroHE Ransomware a ransom note


Содержание записки о выкупе: 
Hello, your files have been encrypted!.
It is impossible to decrypt data without known key.
DON'T try to change files by yourself, DON'T use any third party software for restoring your data or antivirus solutions - these actions may entail damage of the private key and, as result, the loss of all your data. 
We know that this computer is very valuable for you. 
So we will give you an appropriate price for you. 
You have 3 ways to get your files back. 
1. Tell iobit.com to send us 100000 (1 hundred thousand) DERO coin to this address.
dERopYDgpD235oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwRCKZ2j2ugCg26hRtLziwu
After payment arrive, all encrypted computer (including yours) will be decrypted. THIS IS IOBIT's FAULT for your computer got hacked. 
2. Pay us 200 DERO (worth $100 at the moment)... BUT
When DERO reach $100/coin (soon), we will send $500 back to you. That's 5x for your investment. We will not sell DERO until then. You can verify it by using WALLET VIEW KEY provided on our website. No one can fake this, even us, thank to the decentralized nature of DERO Blockchain.
Hurry up while DERO is still cheap!
Send your payment to this address:
dERiqiUutvp35oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwR
Download Tor Browser and open your personal page for more information
3. Don't have $100 to invest?
We have some free, easy task for you to do (online social network activity). Once your ***

Перевод записки на русский язык: 
Привет, ваши файлы зашифрованы!.
Без известного ключа невозможно расшифровать данные.
НЕ ПЫТАЙТЕСЬ изменять файлы сами, НЕ используйте какие-то сторонние программы для восстановления ваших данных или антивирусные решения - эти действия могут повлечь за собой повреждение закрытого ключа и, как следствие, потерю всех ваших данных.
Мы знаем, что этот компьютер очень ценен для вас.
Поэтому мы предложим вам подходящую для вас цену.
У вас есть 3 способа вернуть свои файлы.
1. Скажите iobit.com, чтобы он отправил нам 100000 (1 сотню тысяч) монет DERO на этот адрес.
dERopYDgpD235oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwRCKZ2j2ugCg26hRtLziwu
После поступления оплаты все зашифрованные компьютеры (в том числе и ваш) будут расшифрованы. ИЗ-ЗА ОШИБКИ IOBIT ваш компьютер был взломан.
2. Заплатите нам 200 DERO (на данный момент это 100 долларов) ... НО
Когда DERO достигнет 100 долларов за монету (скоро), мы отправим вам $500. Это в 5 раз больше ваших инвестиций. До тех пор мы не будем продавать DERO. Вы можете проверить это с помощью WALLET VIEW KEY, представленного на нашем сайте. Никто не может это подделать, даже мы, благодаря децентрализованной природе
блокчейна DERO.
Торопитесь, пока DERO ещё дёшево!
Отправьте платёж на этот адрес:
dERiqiUutvp35oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavWSdyEzaViULtCRPxzRwR
Загрузите Tor-браузер и откройте свою личную страницу для получения дополнительной информации
3. Нет $100 для инвестирования?
У нас есть для вас простая и бесплатная задача (активность в социальных сетях). Как только ваш ***


Сайт вымогателей в сети Tor. 



Ещё недавно Dero Wallet был в "Приложениях в Google Play", но на момент написания статьи его страница удалена. Это могло быть связано с вредоносным содержимым или мошенничеством. 

Dero wallet



Технические детали

Для распространения был взломан форум IObit, после чего была создана тема о фальшивой промоакции. 
Кроме того участники форума и подписчики рассылок получили email-рассылку о проведении акции "FREE 1 YEAR LICENSE" на продукты IObit.

"FREE 1 YEAR LICENSE" IObit

Кто скачал и по неосторожности запустил вредоносное содержимое, тот стал жертвой шифровальщика DeroHE Ransomware

Пока форум оставался взломанным, злоумышленники внедрили вредоносный скрипт во все страницы форума. Этот скрипт уже применялся ранее и известен с октября 2020 (VT-ссылка), когда он тоже находился на форуме IObit. 


На момент написания и обновления статьи форум всё ещё остаётся скомпрометированным, посещённые ранее страницы возвращают код ошибки 404, а диалоговые окна в браузере предлагают подписаться на уведомления. Нельзя этого делать! После подписки браузер начнёт получать уведомления, рекламирующие сайты для взрослых, вредоносное ПО и другой нежелательный контент. 


Вышесказанное говорит о том, что эта акция была заранее подготовлена и спланирована против IObit. 

👉 Пользователям продуктов IObit необходимо временно игнорировать все возможные email, уведомления и не загружать никаких обновлений уже установленых продуктов ни в ручном, ни в автоматическом режимах. 

В иных случаях может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, других обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Для своего запуска вредоносная программа добавляет исключенния для Windows Deefender, чтобы он не заблокировал ее запуск: 
@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionPath=\"
@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionPath=\"\Temp\\"
@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionExtension=\".dll\"
@WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionProcess=\"rundll32.exe\"

Затем показывается следующее диалоговое окно, якобы от "IObit License Manager", с просьбой подождать, не закрывать окно и не выключать компьютер. За время ожидания шифровальщик шифрует файлы. 

IObit License Manager message

В конец каждого зашифрованного файла добавлется следующая строка с информацией. Шифровальщик будет использовать это для расшифровки файлов после уплаты выкупа.


После этой строки добавляется еще фраза DERO IS THE NEXT BIT COIN, продвигающая криптовалюты DERO. 

DERO IS THE NEXT BIT COIN

DERO – экспериментальный блокчейн-проект, написанный на Golang. 

DERO – блокчейн-проект


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
free-iobit-license-promo.zip - архив с вредоносным содержимым; 
READ_TO_DECRYPT.html - название файла с требованием выкупа; 
FILES-ENCRYPTED.html - список зашифрованных файлов; 
IObitUnlocker.exe - название вредоносного файла; 
IObitUnlocker.sys - название вредоносного файла, которым злоумышленники подменили оригинальный файл.  

Content free-iobit-license-promo.zip 

 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Malware: xxxxs://forums.iobit.com/free-iobit-license-promo.zip
Tor-URL: xxxx://deropayysnkrl5xu7ic5fdprz5ixgdwy6ikxe2g3mh2erikudscrkpqd.onion
Malware URLxxxx://identifyluckyexactly.com
DERO: dERopYDgpD235oSUfRSTCXL53TRakECSGQVQ2hhUjuCEjC6zSNFZsRqavVVSdyEzaViULtCRPxzRwRCKZ2j2ugCg26hRtLziwu 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT> VT> VT> VT> + VT (script)>
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 myMessage + Message + Message
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 
 Thanks: 
 Tomas Meskauskas (PCrisk.com), Lawrence Abrams
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

пятница, 15 января 2021 г.

Epsilon

Epsilon Ransomware

EpsilonCrypt Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Epsilon Ransomware и Epsilon encryptor. На файле написано: B221.exe, G-654 или что-то еще. 
---
Обнаружения:
DrWeb -> Trojan.EncoderNET.HiddenTear.1
BitDefender -> Generic.Ransom.Small.E850116C
Avira (no cloud) -> HEUR/AGEN.1129970
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AK
Malwarebytes -> Ransom.Crimson
Microsoft -> Trojan:Win32/Ymacco.AA44 
Symantec -> Ransom.HiddenTear!g1
TrendMicro -> 
TROJ_GEN.R002C0OAF21
---

© Генеалогия: BooM ⇒ Epsilon encryptor (на основе HiddenTear)

Знак "⇒" означает переход на другую разработку. См. Генеалогия

Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение: .[neftet@tutanota.com].boom

Сриншот, на котором видна записка и зашифрованные файлы

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало января 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: READ_ME.hta

Скриншот записки, открытой без использования Sandbox (уменьшенный шрифт)

Скриншот записки, открытой в Sandbox (1-я часть)

Скриншот записки, открытой в Sandbox (2-я часть)


Содержание записки о выкупе: 
E P S I L O N
Ransomware 
As you can see, all your files got encrypted. Thats why your files are no longer readable.
If you want them back, please contact us at our email below.
You can send us a couple of files and we will return the restored ones to prove that only we can do it.
EpsilonCrypt@tutanota.com
You can get more information about encryption on Wikipedia. (RSA, AES, RC4)
--------------------------------------------------------------------------------
Please, provide your id below in the subject of your mail.
ID-QE54S-FEQ6E-Q654F-654TY-3215G-TZ320-XXXXX-XXXXX-XXXXX
If you have already submited your payement, you will receive your private key and another decryption key with the special decryption software
--------------------------------------------------------------------------------
More informations:
1. The infection was due to vulnerabilities in your software.
2. Our goal is to return your data, but if you don't contact us, we will not succeed.
IMPORTANT:
1. If you want to make sure that it is impossible to recover files using third-party software, do this not on all files, otherwise you may lose all data.
2. Only communication through our email can guarantee file recover for you. We are not responsible for the actions of third parties who promise to help you - most often they are scammers.
3. Please, do not try to rename encrypted files.

---
Красным цветом выделены слова с ошибками. 

Перевод записки на русский язык: 
E P S I L O N
Ransomware
Как видите, все ваши файлы зашифрованы. Поэтому ваши файлы не читаются.
Если вы хотите их вернуть, свяжитесь с нами по email ниже.
Вы можете прислать нам пару файлов и мы вернем восстановленные, чтобы доказать, что только мы можем это сделать.
EpsilonCrypt@tutanota.com
Вы можете получить больше информации о шифровании в Википедии. (RSA, AES, RC4)
-------------------------------------------------- ------------------------------
Пожалуйста, укажите свой id ниже в теме письма.
ID-QE54S-FEQ6E-Q654F-654TY-3215G-TZ320-XXXXX-XXXXX-XXXXX
Если вы уже заплатили, вы получите свой закрытый ключ и еще один ключ дешифрования с помощью специальной программы для дешифрования.
-------------------------------------------------- ------------------------------
Дополнительная информация:
1. Заражение произошло из-за уязвимостей в вашем ПО.
2. Наша цель - вернуть ваши данные, но если вы не напишите нам, у нас ничего не получится.
ВАЖНО:
1. Если вы хотите убедиться, что невозможно восстановить файлы с помощью сторонних программ, делайте это не для всех файлов, иначе вы можете потерять все данные.
2. Только общение по email может гарантировать вам восстановление файла. Мы не несем ответственности за действия третьих лиц, которые обещают вам помочь - чаще всего это мошенники.
3. Пожалуйста, не переименовывайте зашифрованные файлы.


Другим информатором жертвы выступает изображение, заменяющее обои рабочего стола. Красный текст на тёмном фоне указывает на файл основной записки READ_ME.hta




Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ UAC не обходит, требуется рарешение на запуск. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_ME.hta - название файла с требованием выкупа
65QEF.bmp - файл изображения, заменяющий обои рабочего стола
B221.pdb - название оригинального проекта
B221.exe - название вредоносного файла


Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
E:\@56\B221\B221\B221\obj\Debug\B221.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL-адрес для загрузки записки: 
xxxxs://cdn.discordapp.com/attachments/599226424695455755/798932401216552974/B221.pdb
Email: EpsilonCrypt@tutanota.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >> VT> VT> VT>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>  AR> AR> AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

BooM Ransomware - январь 2019
Epsilon Ransomware - январь 2021


=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Message + myMessage + Message
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 
 Thanks: 
 GrujaRS, Petrovic
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

среда, 13 января 2021 г.

Lucy

Lucy Ransomware

Lucy Mobile Ransomware

(шифровальщик-вымогатель для Android) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные на мобильных устройствах с помощью AES, а затем требует выкуп выкуп в $200 через карту OneVanilla, чтобы расшифровать файлы. Предназначен только для Android-устройств. 
---
Обнаружения:
Avast-Mobile -> APK:Locker [Trj]
BitDefenderFalx -> Android.Trojan.Botnet.F
ESET-NOD32 -> A Variant Of Android/Spy.Banker.AKI
Fortinet -> Android/Banker.AKI!tr
MaxSecure -> Android.fakeinst.a
Qihoo-360 -> Trojan.Android.Gen
Sophos -> Andr/SLocker-CZ
Symantec -> Trojan.Gen.2
Tencent -> Dos.Backdoor.Lucbot.Hsiy
ZoneAlarm by Check Point -> HEUR:Backdoor.AndroidOS.Lucbot.e
---

© Генеалогия: Удобная ниша (CNAM) >> Lucy 2017Lucy 2021

CNAM (Convenient niche for Android malware) — в переводе "Удобная ниша для вредоносного ПО для Android", которая изначально поспособствовала разработке и распространению вредоносных программ для Android-устройств. 
Я придумал этот термин, чтобы в культурной форме назвать это злачное место. 
Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .Lucy
 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало января 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Скриншоты: экран блокировки, ввод данных, зашифрованные файлы. 

  


Содержание записки о выкупе: 
DEPARTMENT OF JUSTICE
FEDERAL BUREAU OF INVESTIGATION
FBI HEADQUARTERS
WASHINGTON DC DEPARTMENT, USA
AS A RESULT OF FULL SCANNING OF YOUR DEVICE, SOME SUSPICIOUS FILES HAVE BEEN FOUND AND YOUR ATTENDANCE OF THE FORBIDDEN PORNOGRAPHIC SITES HAS BEEN FIXED. FOR THIS REASON YOUR DEVICE HAS BEEN LOCKED AND DATA ENCRYPTED. INFORMATION ON YOUR LOCATION AND SNAPSHOTS CONTAINING YOUR FACE HAVE BEEN UPLOADED ON THE FBI CYBER CRIME DEPARTMENTS DATACENTER.
FIRST OF ALL, FAMILIARISE WITH THE POSI-
---
WHERE BUY PAY FINE INFO

Перевод записки на русский язык: 
ДЕПАРТАМЕНТ ПРАВОСУДИЯ 
ФЕДЕРАЛЬНОЕ БЮРО РАССЛЕДОВАНИЙ 
ШТАБ-КВАРТИРА ФБР ВАШИНГТОН, 
ОКРУГ КОЛУМБИЯ, США 
В РЕЗУЛЬТАТЕ ПОЛНОГО СКАНИРОВАНИЯ ВАШЕГО УСТРОЙСТВА БЫЛИ НАЙДЕНЫ НЕКОТОРЫЕ ПОДОЗРИТЕЛЬНЫЕ ФАЙЛЫ И ЗАФИКСИРОВАНО ВАШЕ ПРИСУТСТВИЕ НА ЗАПРЕЩЕННЫХ ПОРНОСАЙТАХ. ПО ЭТОЙ ПРИЧИНЕ ВАШ УСТРОЙСТВО БЛОКИРОВАНО, ДАННЫЕ ЗАШИФРОВАНЫ. ИНФОРМАЦИЯ О ВАШЕМ МЕСТОНАХОЖДЕНИИ И СНИМКИ С ВАШИМ ЛИЦОМ БЫЛИ ЗАГРУЖЕНЫ В ЦЕНТР ДАННЫХ ОТДЕЛА КИБЕРПРЕСТУПНОСТИ, ФБР
СНАЧАЛА ОЗНАКОМЬТЕСЬ С ПОЛОЖЕНИЕМ -
--- 
ГДЕ КУПИТЬ ОПЛАТИТЬ ШТРАФ ИНФО


Еще одно сообщение: 
ATTENTION! 
To view this video, please turn on "18+ AGE PHONE CHILDREN GUARD" in phone settings. * Because video contains adult content 
OK

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
все популярные форматы файлов. 
Это документы могут быть файлы документов, PDF, текстовые файлы, фотографии, музыка, видео и пр. 

Главной целью являются не файлы на мобильных устройствах, а данные карт пользователей, которые вымогатели просто украдут. 


Проверяет страну пользователя по списку:
ru - Россия
az - Азербайджан
by - Беларусь
kz - Казахстан
kg - Киргизия
md - Молдова
tj - Таджикистан
tm - Туркменистан
uz - Узбекистан
ua - Украина

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа
app-release.apk - название вредоносного файла


Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Lucy Mobile Ransomware - 2017
Lucy Mobile Ransomware - 2021


=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Message + Message + Message
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 
 Thanks: 
 Lukas Stefanko, MalwareHunterTeam
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Подписчики

Получать письма / Follow by E-mail

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *