Cryptorbit Ransomware
CryptorBit Ransomware
HowDecrypt Ransomware
(шифровальщик-вымогатель)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES + RSA, а затем требует выкуп от $500-600 до ~$1000 в BTC (0.5 BTC в то время), чтобы вернуть файлы. Оригинальное название: Cryptorbit, указано в заголовке экрана блокировки, причем написано с выделением "or": Cryptorbit. На файле написано: CryptorBit.exe. Нацелен на все версии Windows, включая Windows XP, Windows Vista, Windows 7 и Windows 8.
---
Обнаружения (вероятно, файл трояна-загрузчика):
Avira (no cloud) -> TR/Crypt.ZPACK.Gen7
BitDefender -> Gen:Variant.Symmi.37326, Gen:Variant.Strictor.48413
CAT-QuickHeal -> Ransomware.Cryptorbit.A
DrWeb -> Trojan.Inject1.35058
ESET-NOD32 -> Win32/TrojanDownloader.Nymaim.AB
Kaspersky -> Trojan.Win32.Sharik.rex
Malwarebytes -> Trojan.Agent.ED
McAfee -> Generic.dx!3023D7526B47, Generic.eni
Microsoft -> Ransom:Win32/Nymaim
Rising -> Malware.XPACK-HIE/Heur!1.9C48, Trojan.Generic@ML.94 (RDML:mQ*
Symantec -> Trojan.Zbot, ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Sharik.Lfpr
TrendMicro -> TROJ_SHARIK.BB
VBA32 -> Trojan.Sharik.340A
---© Генеалогия: ✂️ CryptoLocker >> CryptorBit (HowDecrypt)
Вероятно, второе название "HowDecrypt" получил по названию записки с требованием выкупа. Я не видел более ранних вариантов.
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: *нет данных*.
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Рання активность этого крипто-вымогателя пришлась на первую половину декабря 2013 года и продолжилась в 2014 году и позже. Ориентирован на англоязычных пользователей, может распространяться по всему миру.
Записки с требованием выкупа называются:
HowDecrypt.txt - текстовый файл
HowDecrypt.gif - изображение с текстом.
Содержание записки о выкупе:
All files including videos, photos and documents on your computer are encrypted.
File Decryption costs ~ $ 500.
In order to decrypt the files, you need to perform the following steps:
1. You should download and install this browser http://www.torproject.org/projects/torbrowser.html.en
2. After installation, run the browser and enter the address: 4sfxctgp53imlvzk.onion
3. Follow the instructions on the web-site. We remind you that the sooner you do, the more chances are left to recover the files.
Guaranteed recovery is provided within 10 days.
IMPORTANT INFORMATION:
Your Personal CODE: 00000001-xxxxxx
Перевод записки на русский язык:
Все файлы, включая видео, фото и документы на вашем компьютере, зашифрованы.
Расшифровка файлов стоит ~ $ 500.
Чтобы расшифровать файлы вам нужно сделать следующие действия:
1. Вам нужно загрузить и установить этот браузер http://www.torproject.org/projects/torbrowser.html.en
2. После установки запустите браузер и введите адрес: 4sfxctgp53imlvzk.onion
3. Следуйте инструкциям на сайте. Напоминаем, чем раньше вы это сделаете, тем больше шансов восстановить файлы.
Гарантированное восстановление в течении 10 дней.
ВАЖНАЯ ИНФОРМАЦИЯ:
Ваш личный код: 00000001-xxxxxx
Другим информатором жертвы выступает экран блокировки:
Содержание текста о выкупе:
Перевод текста на русский язык:
YOUR PERSONAL FILES ARE ENCRYPTED
All files including videos, photos and documents, etc on your computer are encrypted.
Encryption was produced using a unique public key generated for this computer. To decrypt files, you need to obtain the private key.
The single copy of the private key, which will allow you to decrypt the files, located on a secret server on the Internet; the server will destroy the key after a time specified in this
window, After that, nobody and never will be able to restore files
In order to decrypt the files, open site
4sfxctgp53imlvzk.onion.to/index.php and follow the instructions.
If 4sfxctgp53imlvzk.onion.to is not opening, please follow the steps below:
1. You must download and install this browser:
http://www.torproject.org/projects/torbrowser.html.en
2. After installation, run the browser and enter the address:
4sfxctgp53imlvzk.onion/index.php
3. Follow the instructions on the web-site. We remind you that the sooner you do, the more chances are left to recover the files.
Перевод текста на русский язык:
ВАШИ ПЕРСОНАЛЬНЫЕ ФАЙЛЫ ЗАШИФРОВАНЫ
Все файлы, включая видео, фото, документы и т.д. на вашем компьютере, зашифрованы.
Шифрование выполнено с помощью уникального открытого ключа, созданного для этого компьютера. Чтобы расшифровать файлы, вам нужно получить закрытый ключ.
Единственная копия закрытого ключа, которая позволит вам расшифровать файлы, находится на секретном сервере в Интернете; сервер уничтожит ключ через время, указанное в этом окне, после этого никто и никогда не сможет восстановить файлы
Чтобы расшифровать файлы, откройте сайт
4sfxctgp53imlvzk.onion.to/index.php и следуйте инструкциям.
Если 4sfxctgp53imlvzk.onion.to не открывается, выполните следующие действия:
1. Вы должны загрузить и установить этот браузер:
http://www.torproject.org/projects/torbrowser.html.en
2. После установки запустите браузер и введите адрес:
4sfxctgp53imlvzk.onion/index.php
3. Следуйте инструкциям на сайте. Напоминаем, что чем раньше вы это сделаете, тем больше будет шансов восстановить файлы.
Скриншоты с сайтов вымогателей:
Технические детали
Вероятно связан с трояном-загрузчиком Nymaim и SmokeLoader.
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Cryptorbit не шифрует весь файл, а скорее повреждает его, заменяя первые 512 байтов файла.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
cxtdfx.exe, <random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
\REGISTRY\USER\S-1-5-21-1985363256-3005190890-1182679451-1000\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\shell = "C:\\ProgramData\\qej\\cxtdfx.exe,explorer.exe"
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Cryptorbit не шифрует весь файл, а скорее повреждает его, заменяя первые 512 байтов файла.
Подробности шифрования:
Cryptorbit копирует первые 512 байтов исходного заголовка файла, шифрует эти байты и сохраняет их в конце файла. Затем он создает другой 512-байтовый заголовок и заменяет им обычный заголовок файла. Это фактически повреждает файл, потому что программа, которая обычно открывала бы этот тип файла, увидит неизвестный заголовок и не сможет его открыть.
В начале 2014 года был найдены методы и разработана программа, которая может восстановить заголовок файла и поврежденные файлы.
Чтобы восстановить файлы JPEG, JPG, .PDF, .WAV, .PST, .DOC, .XLS, .XLSX, .PPTX, .DOCX и .MP3, нужно загрузить Anti-CryptorBitV2.exe из текста по ссылке. Свойства файла прилагаются.
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
HowDecrypt.txt - название файла с требованием выкупа
HowDecrypt.gif - изображение с текстом выкупаcxtdfx.exe, <random>.exe - случайное название вредоносного файла
xKeNIVpFABUmG.bat - случайное название вредоносного bat-файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
\REGISTRY\USER\S-1-5-21-1985363256-3005190890-1182679451-1000\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\shell = "C:\\ProgramData\\qej\\cxtdfx.exe,explorer.exe"
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Tor-URL: 4sfxctgp53imlvzk.onion
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Tor-URL: 4sfxctgp53imlvzk.onion
Email: -
BTC: 15JTKDkU4U6Tn5MBc9Pt52mMzXDmvmaanR
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >> HA>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >> IA>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
В 2014 году появились версии CryptorBit v.2 и v.3
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
BTC: 15JTKDkU4U6Tn5MBc9Pt52mMzXDmvmaanR
Список сайтов / DNS:
ahfgalsid.com
amexmub.org
bdvdxafnnr.info
ckmoyvqq.biz
dpvvkldbw.net
fqmarkdicq.net
fxvxrvrm.ru
gjyzud.com
gpyxvhxw.com
hyktlqar.biz
irulcuv.biz
iwxyeko.net
jfwxqgvj.net
jihnynk.net
jqmodlczdla.net
kcgldirxear.ru
mcidpd.org
mdlzljkm.ru
mikayyar.ru
mrahrsbx.biz
mtbjinqs.info
nfoposn.info
nmqilakndbe.com
nshomblfby.ru
ofaysexz.biz
poliglotsexot.org
qisgup.biz
relonsywu.ru
rwvupxk.org
rybmqwcqup.info
sanjwno.ru
ttuktb.com
ureorgnta.biz
vmdfejfbzsi.ru
wdrwdwjq.org
wqshzrd.net
wtorlsbx.net
xbvsorrhc.info
ybohemdbnoh.info
yplodnvti.org
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >> HA>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >> IA>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
В 2014 году появились версии CryptorBit v.2 и v.3
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Message + Message + Message ID Ransomware (ID as CryptorBit) Write-up, Topic of Support *
Thanks: Lawrence Abrams, Michael Gillespie Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
