четверг, 17 марта 2016 г.

SamSam

SamSam Ransomware
Samas Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES/RSA, а затем требует выкуп в 1 BTC и больше, чтобы вернуть файлы. Оригинальное название: SamSam. На файле написано: samsam.exe.

© Генеалогия: SamSam. Начало

К зашифрованным файлам добавляется расширение .encryptedRSA
Позже появились расширения:
.encryptedAES
.encedRSA
.justbtcwillhelpyou
.btcbtcbtc
.btc-help-you
.only-we_can-help_you
.iwanthelpuuu
и многие другие (см. обновления после статьи). 

Активность этого крипто-вымогателя зарегистрирована в феврале-марте-апреле 2016 г. Ориентирован на англоязычных пользователей, что позволило распространять его по всему миру. 
В марте 2016 года ФБР США обратилось к экспертам в сфере информационной безопасности с просьбой оказать содействие в расследовании деятельности вымогательского ПО Ransom: MSIL/Samas.A, или SamSam, известного ФБР с февраля этого года. 

Записка с требованием выкупа называется: HELP_DECRYPT_YOUR_FILES.html

Она размещается во всех папках, где есть зашифрованные файлы, а также на Рабочем столе. 

Содержание записки о выкупе:
All of your important files encrypted with RSA-2048, RSA-2848 is a powerful cryptography algorithm
For more information you can use Wikipedia
*attention: Don't rename or edit encrypted files because it will be impossible to decrypt your files
#How to recover files?
RSA is a asymmetric cryptographic algorithm, You need two key
1-Public key: you need it for encryption
2-Private Key: you need it for decryption
So you need Private key to recover your files.
All of your network computers files is encrypted with one public key. So you need just one Private key to recover all computers files
The private Key that we will send works on all your computers
#How to get private key?
It's not possible to recover your files without private key, You must send us 15,000$ USD in Bitcoin about(37 BTC) to receive private key For all affected computers
After that we send your private key in our blogs.
*Our blog address: *****
*Our Bitcoin address: *****
We check our Bitcoin address every 2 hours
After that we receive Bitcoins we send your Private Key in our blog
#What is Bitcoin?
Bitcoin is an innovative payment network and a new kind of money.
You can create a Bitcoin account at https://blockchain.info/ and deposit some money into your account and then send to us
#How to buy Bitcoin?
There are Many way to buy Bitcoin and deposit it into your account,
You can buy it with WesternUnion, Bank Wire, International Bank transfer, Cash deposit and etc
https://localbitcoins.com ---> Buy Bitcoin with WesternUnion or MoneyGram
https://coincafe.com ---> Buy Bitcoin fast and Secure with WesternUnion and Cash deposit
https://www.bitstamp.net ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
httos://www.kraken.com ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
https://www.kraken.com ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
https://www.ccedk.com ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
https://bitcurex.com/ ---> Buy Bitcoin with bank wire, International bank transfer, SEPA payment
If you want to pay with your Business bank account you should create a business account in exchangers they don't accept payment from third party
#How to use private Key?
We send you a simple software with private Key
And you just need run this software on each computer that encrypted and all affected files will be decrypted
#deadline
You just have 72 hours to send us the Bitcoin after 72 hours we will remove your private key and it's impossible to recover your files

Перевод записки на русский язык:
Все ваши важные файлы зашифрованы с RSA-2048, RSA-2848 - мощный криптографический алгоритм
Для получения информации вы можете использовать Википедию
* Внимание: не переименовывайте и редактируйт зашифрованные файлы, потому что невозможно будет расшифровать ваши файлы
# Как восстановить файлы?
RSA - асимметричный криптографический алгоритм, вам нужны два ключа
1 - открытый ключ: вам это нужно для шифрования
2 - закрытый ключ: вам нужно его для расшифровки
Таким образом, вам нужен закрытый ключ для восстановления ваших файлов.
Все файлы ваших сетевых компьютеров зашифрованы одним открытым ключом. Таким образом, вам нужен только один закрытый ключ для восстановления всех файлов компьютеров
Закрытый ключ, который мы отправим на все ваши компьютеры
# Как получить закрытый ключ?
Невозможно восстановить файлы без персонального ключа. Вы должны отправить нам 15 000 долларов США в биткоинах (37 BTC), чтобы получить секретный ключ. Для всех затронутых компьютеров
После этого мы отправим ваш секретный ключ в наши блоги.
* Наш адрес в блоге: *****
* Наш биткоин-адрес: *****
Мы проверяем наш биткоин-адрес каждые 2 часа
После этого мы получаем биткоины, которые мы отправляем в наш блог
# Что такое биткоин?
Биткоин - это инновационная платежная сеть и новый вид денег.
Вы можете создать учетную запись Биткоин на https://blockchain.info/ и внести деньги на свой счет, а затем отправить нам
# Как купить биткоин?
Есть много способов купить биткоины и внести его в свой аккаунт,
Вы можете купить его с WesternUnion, банковским переводом, международным банковским переводом, депозитом наличными и т. Д.
https://localbitcoins.com ---> Купить биткоин с WesternUnion или MoneyGram
https://coincafe.com ---> Купить биткоин быстро и безопасно с WesternUnion и депозитом наличными
https://www.bitstamp.net ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
httos: //www.kraken.com ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
https://www.kraken.com ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
https://www.ccedk.com ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
https://bitcurex.com/ ---> Купить биткоин с банковским переводом, международный банковский перевод, оплата SEPA
Если вы хотите оплатить свой банковский счет в бизнес-банке, вы должны создать учетную запись в обменных пунктах, которые они не могут принимать платежи от третьих лиц
#Как использовать закрытый ключ?
Мы отправляем вам простую программу с закрытым ключом
И вам просто нужно запустить эту программу на каждом компьютере, который зашифрован, и все затронутые файлы будут расшифрованы
#крайний срок
У вас просто есть 72 часа, чтобы отправить нам биткоин через 72 часа, мы удалим ваш личный ключ, и будет невозможно вернуть ваши файлы 



Подробнее о работе этого вредоноса

Удалённые взломщики используют хакерский инструмент JexBoss для автоматического обнаружения уязвимых систем с устаревшими версиями JBOSS и последующего запуска атаки для удалённой установки вымогателей SamSam на компьютеры жертв. Вредоносное ПО, поставляющее SamSam, раздается на Windows-системы посредством эксплуатации уязвимостей в непропатченных серверах JBoss. Затем устанавливает веб-шелл, идентифицирует другие подключенные к сети системы и внедряет вымогателя SamSam для осуществления шифрования файлов на устройствах сети. 


Схема последовательности атаки

Главная особенность Samas заключается в возможности шифрования данных на всех компьютерах в скомпрометированной сети. SamSam запускает на скомпрометированной машине процесс samsam.exe и приступает к шифрованию, используя комбинацию AES-256 (CBC) + RSA-2096. SamSam совсем не скрывает свою активность в системе, не использует упаковщик и не обнаруживает системных отладчиков. Работает автономно, но прекращает шифрование, если версия Windows ниже Vista, из-за проблем с совместимостью.

SamSam удаляет теневые копии файлов с помощью системного приложения  Vssadmin.exe. Эта функция впоследствии станет очень популярной среди шифровальщиков-вымогателей... 




Спустя некоторое время...

Спустя некоторое время после публикации новости, распространители Samsam подняли планку и стали требовать выкуп в 1,5-1,7 биткоина на зараженной системе, или 22 биткоинов за расшифровку файлов всех зараженных компьютеров сети. Malware-аналитики проконтролировали несколько кошельков Bitcoin, связанных с этими атаками, и заметили, что на них поступили выплаты в сотни тысяч долларов.

По словам исследователей, судя по всему, атаки совершались несколькими группами злоумышленников, на что указывает внедрение в системы различных бэкдоров: mela, shellinvoker, jbossinvoker, zecmd, cmd, genesis, sh3l, Inovkermngrt и jbot.

Среди признаков, свидетельствующих о получении преступниками контроля над системой, упоминается появление сторонних файлов jbossass.jsp, jbossass_jsp.class, shellinvoker.jsp, shellinvoker_jsp.class, mela.jsp, mela_jsp.class, zecmd.jsp, zecmd_jsp.class, cmd.jsp, cmd_jsp.class, wstats.jsp, wstats_jsp.class, idssvc.jsp, idssvc_jsp.class, iesvc.jsp или iesvc_jsp.class.


География распространения вымогательской инфекции SamSam


Технические подробности

Распространяется путём взлома через незащищенную конфигурацию RDP или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .ads, .agdl, .ai, .ait, .al, .apj, .arw, .asf, .asm, .asp, .aspx, .asx, .avi, .awg, .back, .backup, .backupdb, .bak, .bank, .bay, .bdb, .bgt, .bik, .bkf, .bkp, .blend, .bpw, .c, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfp, .cgm, .cib, .class, .cls, .cmt, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .csv, .dac, .db, .db3, .dbf, .db-journal, .dbx, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .design, .dgc, .djvu, .dng, .doc, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .eml, .eps, .erbsql, .erf, .exf, .fdb, .ffd, .fff, .fh, .fhd, .fla, .flac, .flv, .fmb, .fpx, .fxg, .gray, .grey, .gry, .h, .hbk, .hpp, .htm, .html, .ibank, .ibd, .ibz, .idx, .iif, .iiq, .incpas, .indd, .jar, .java, .jpe, .jpeg, .jpg, .jsp, .kbx, .kc2, .kdbx, .kdc, .key, .kpdx, .lua, .m, .m4v, .max, .mdb, .mdc, .mdf, .mef, .mfw, .mmw, .moneywell, .mos, .mov, .mp3, .mp4, .mpg, .mrw, .msg, .myd, .nd, .ndd, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .nwb, .nx2, .nxl, .nyf, .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b.p7c, .pab, .pages, .pas, .pat, .pbl, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .php5, .phtml, .pl, .plc, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prf, .ps, .psafe3, .psd, .pspimage, .pst, .ptx, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .r3d, .raf, .rar, .rat, .raw, .rdb, .rm, .rtf, .rw2, .rwl, .rwz, .s3db, .sas7bdat, .say, .sd0, .sda, .sdf, .sldm, .sldx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .std, .sti, .stw, .stx, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxi, .sxm, .sxw, .tex, .tga, .thm, .tib, .tif, .tlg, .txt, .vob, .wallet, .war, .wav, .wb2, .wmv, .wpd, .wps, .x11, .x3f, .xis, .xla, .xlam, .xlk, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .ycbcra, .yuv, .zip (327 расширений). 

В других версиях: 
 .3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .ads, .agdl, .ai, .ait, .al, .apj, .arw, .asf, .asm, .asp, .aspx, .asx, .avi, .awg, .back, .backup, .backupdb, .bak, .bank, .bay, .bdb, .bgt, .bik, .bin, .bkf, .bkp, .blend, .bpw, .c, .cab, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfp, .cgm, .chm, .cib, .class, .cls, .cmt, .cnf, .conf, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .csv, .dac, .dat, .data, .db, .db3, .dbf, .db-journal, .dbx, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .design, .dgc, .djvu, .dng, .doc, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .eml, .eps, .erbsql, .erf, .exf, .fdb, .ffd, .fff, .fh, .fhd, .fla, .flac, .flv, .fmb, .fpx, .fxg, .gif, .gray, .grey, .gry, .gz, .h, .hbk, .hpp, .htm, .html, .ibank, .ibd, .ibz, .idx, .iif, .iiq, .incpas, .indd, .jar, .java, .jin, .jpe, .jpeg, .jpg, .js, .jse, .jsp, .kc2, .kdbx, .kdc, .key, .kpdx, .log, .lua, .m, .m4v, .max, .mdb, .mdc, .mdf, .mef, .mfw, .mm, .mmw, .moneywell, .mos, .mov, .mp3, .mp4, .mpg, .mrw, .msg, .myd, .nd, .ndd, .nef, .nk2, .nof, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .nvram, .nwb, .nx2, .nxl , .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pab, .pages, .pas, .pat, .pbl, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pl, .plc, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prf, .ps, .psafe3, .psd, .pspimage, .pst, .ptx, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .r3d, .raf, .rar, .rat, .raw, .rdb, .rm, .rtf, .rw2, .rwl, .rwz, .s3db, .sas7bdat, .say, .sd0, .sda, .sdf, .sldm, .sldx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .std, .sti, .stw, .stx, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .tex, .tga, .tif, .tlg, .txt, .vb, .vbs, .vmdk, .vmem, .vmsd, .vmsn, .vmx, .vmxf, .vob, .wallet, .war, .wav, .wb2, .wmv, .wpd, .wps, .x11, .x3f, .xis, .xla, .xlam, .xlk, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .ycbcra, .yuv, .yuvxlr, .zip (345 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, бэкапы, архивы и пр.

Файлы, связанные с этим Ransomware:
samsam.exe
HELP_DECRYPT_YOUR_FILES.html - записка о выкупе;
<random>.exe - исполняемый файл вымогателя;
delfiletype.exe - копия исполняемого файла вымогателя;
sqlsrvtmg1.exe - копия исполняемого файла вымогателя;
psexec.exe - развертывает другие компоненты; 
del.exe - делает зачистку следов присутствия вымогателя в системе;
selfdel.exe - делает аналогичную зачистку следов (в другой версии);
list.txt - содержит украденные учётные данные.

Расположения:
C:\Windows\system32\samsam.exe
\User_folders\HELP_DECRYPT_YOUR_FILES.html
\Desktop\HELP_DECRYPT_YOUR_FILES.html

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxxs://lordsecure4u.wordpress.com
xxxx://wzrw3hmj3pveaaqh.onion/diana
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: высокая и перспективно высокая.
Подробные сведения собираются регулярно.


=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===


Обновление от 6 апреля 2016:
Пост в Твиттере >>
Расширение: .justbtcwillhelpyou

Обновление от 16 апреля 2016:
Пост в Твиттере >>
Расширение: .btcbtcbtc

Обновление от 26 апреля 2016:
Пост в Твиттере >>
Записка: HELP_FOR_DECRYPT_FILE.html
Расширение: .btc-help-you

Обновление от 11 мая 2016: 
Пост в Твиттере >>
Расширение: .only-we_can-help_you
Результаты анализов: HA+VT

Обновление от 30 июня 2016: 
Пост в Твиттере >>
Файл: wanadoesme.exe
Записка: 000-HELP_FOR_DECRYPT_FILE.html
Расширение: .iwanthelpuuu
Результаты анализов: HA+VT

Обновление от 4 ноября 2016:
Пост в Твиттере >>
Расширение: .notfoundrans
Записка: READ-FOR-HELLPP.html
BTC: 15gbE7z9cbxg5Gvh2rDFPdU1a1VLu9rnBa
Tor: ***qjvah4btqkppaudo.onion/gclass007/
Результаты анализов: VT

Обновление от 14 декабря 2016:
Файл: barbimos2.exe
Записка: READ-FOR-HELLPP.html
Расширение: .checkdiskenced
BTC: 15zpJyi4DaqRhTS2PRDHt4z1WQiGm5gsMZ
Tor: ***qjy2f3q45elp2tlc.onion/33fiveman/
Результаты анализов: VT

Обновление от 14 декабря 2016:
Пост в Твиттере >>
Файл: sobusy.exe
Фальш-имя: Contact MSoffice
Записка: 000-PLEASE-READ-WE-HELP.html
Расширение: .VforVendetta
BTC: 12Z7QctstwkxxfWdrFJs1oEpDLT3jpqcPq
Tor: ***qjy2f3q45elp2tlc.onion/sking01/
Результаты анализов: VT

Обновление от 23 декабря 2016:
Файлы: WinDir.exe (Desktop Windows Manager)
anabella2.exe
Записка: READ-FOR-HELLPP.html
Расширение: .checkdiskenced
BTC: 1Ar31oJp7ALcErh61KGiu18WsmjWpHc9pi
Tor: ***qjy2f3q45elp2tlc.onion/stackoverflow42/
Результаты анализов: VT

Обновление от 25 декабря 2016:
Пост в Твиттере >>
Записка: 002-HAPPEN-ENCED-FILES.html
Расширение: .happenencedfiles

Обновление от 30 декабря 2016:
Пост в Твиттере >>
Записка: WHERE-YOUR-FILES.html
Расширение: .Whereisyourfiles

Обновление от 1 января 2017:
Пост в Твиттере >>
Записка: HELP-ME-ENCED-FILES.html
Расширение: .helpmeencedfiles
Tor: ***heyvkn3uty2irsjx.onion/xmanx665
BTC: 1DyCVs9fBcxvd56R7tPRG1ENY1hZ4NZGcZ
Результаты анализов: VT

Обновление от 4 января 2017:
Пост в Твиттере >>
Записка: 001-PLS-DEC-MY-FILES.html
Расширение: .wowwhereismyfiles

Обновление от 10 января 2017:
Пост в Твиттере >>
Записка: 000-WOW-READ-FOR-DECRYP.html
Расширение: .wowreadfordecryp

Обновление от 14 января 2017:
Пост в Твиттере >>
Записка: WE-MUST-DEC-FILES.html
Расширение: .powerfulldecrypt
BTC: 1CMJGvv6usQ5tz4z8miDngQeRzrgvBuz8H
Tor: ***heyvkn3uty2irsjx.onion/shield221/
Результаты анализов: HA+VT

Обновление от 25 января 2017:
Пост в Твиттере >>
Записка: 000-IF-YOU-WANT-DEC-FILES.html
Расширение: .otherinformation

Обновление от 1 февраля 2017:
Пост в Твиттере >>
Записка: LET-ME-TRY-DEC-FILES.html
Расширение: .letmetrydecfiles

Обновление от 13 февраля 2017:
Пост в Твиттере >>
Записка: 001-READ-FOR-DECRYPT-FILES.html
Расширение: .encryptedyourfiles

Обновление от 21 февраля 2017:
Пост в Твиттере >>
Файл: preguess2.exe
Записка: READ-READ-READ.html
Расширение: .weencedufiles
Tor: ***v45y2fwx5ugpegmi.onion/11preguess990/
Результаты анализов: VT

Обновление от 3 марта 2017:
Пост в Твиттере >>
Записка: PLEASE-READIT-IF_YOU-WANT.html
Расширение: .filegofprencrp

Обновление от 11 марта 2017:
Пост в Твиттере >>
Файл: emetic45.exe
Записка: IF_WANT_FILES_BACK_PLS_READ.html
Расширение: .iaufkakfhsaraf
Tor: http://v45y2fwx5ugpegmi.onion/246526744emetic76453434/
BTC: 1Lmio7ee8nBk98ZWBEWi98NL3qBCWvshuJ
Результаты анализов: VT

Обновление от 20 марта 2017:
Пост в Твиттере >>
Записка: READ_READ_DEC_FILES.html
Расширение: .cifgksaffsfyghd

Обновление от 23 марта 2017:
Расширение: .checkdiskenced
Записка: READ-FOR-HELLPP.html
BTC: 1DA1gyQNpCRM1292nV3xY53tkDzeJ7SgZ4
Tor: ***qjy2f3q45elp2tlc.onion/22ultra/
Результаты анализов: HA+VT

Обновление от 24 марта 2017:
Записка: WE-CAN-HELP-U.html
Расширение: .vekanhelpu
BTC: 1G8CNAevnbz4iu2PUGMU65FyoNgZeNVYQY
Tor: ***pt7ow5kk6dxkobcq.onion/6petro33/
Результаты анализов: VT

Обновление от 26 июня 2017:
Пост в Твиттере >>
Расширение: .moments2900

Обновление от 14 июля 2017:
Расширение: .country82000

Обновление от 19 июля 2017:
Пост в Твиттере >>
Расширения: .breeding123 и .mention9823

Обновление от 30 июля 2017:
Пост в Твиттере >>
Расширение: .supported2017
Файлы: cheerful2.exe (2768784_cheerful2.exe)
BTC: 1NWDgpimwWxmsVysjdzd3udEUKmFjN7pnN
C2 URL: xxxx://fxn5ao5mmaktpsug.onion/19732remarkably84561/
Результаты анализов: VT, VT

Обновление от 26 августа 2017:
Записка: PLEASE-README-AFFECTED-FILES.html
Расширение: .prosperous666
Файлы: convinced2.exe
Tor: xxxx://fxn5ao5mmaktpsug.onion/assistance9294637472/
BTC: 1NFpwYEw4DvFrMLaHAV3gP4awuWZe2o4Yw
Результаты анализов: HA+VT

Обновление от 8 сентября 2017:
Пост в Твиттере >>
Расширение: .disposed2017
Записка: PLEASE-README-HOWTO-RECOVERY.html
Tor-URL: fxn5ao5mmaktpsug.onion/existence748563853/
BTC: 1AMEyf3sDK1HtYpCYbiqQ8n7GtXxHwDxM
BTC: 1PNNAA8eD1o6hSp879PKzoakXxyQnx9NiP
Результаты анализов: VT, VT

Обновление от 18 сентября 2017: 
Пост в Твиттере >>
Расширение: .myransext2017
Записка: 005-DO-YOU-WANT-FILES.html
Tor-URL: fxn5ao5mmaktpsug.onion

Обновление от 18 сентября 2017: 
Пост в Твиттере >>
Расширение: .areyoulovemyrans
Записка: 0000-DO-YOU-WANT-FILES. html
Tor-URL: fxn5ao5mmaktpsug.onion

Обновление от 28 декабря 2017:
Пост в Твиттере >>
Расширение: .weapologize
Записка: 0000-SORRY-FOR-FILES.html
0009-SORRY-FOR-FILES.html
Статья от 19 января 2018 >>
Статья от 22 января 2018 >>



ПРЕДПОЛОЖИТЕЛЬНО! 
Обновление от 20 апреля 2018 / Updated April 20, 2018:
Расширение / Extension: .greystars@protonmail.com
Email: greystars@protonmail.com
BTC: 1JnRP8UsTDLRjzCTaJXYPr5oYkKc7bLY2Q
Сумма выкупа / Sum of ransom: 0.08
Записка / Ransom note: HOW-TO-RECOVER-YOUR-FILES.HTML
или How-To-Recover-Your-Files.html
 
Пример записки о выкупе
 
Целевые расширения 
Зашифрованное в директории jboss-4.2.2 GA/bin
Это обновление, как не относящееся к SamSam выделено в отдельную статью Greystars Ransomware. Возможно, что оно будет стёрто. 




 Read to links: 
 Write-up, Write-up, Write-up, Write-up
 ID Ransomware
 Topic of Support
 Added later:
SamSam ransomware: controlled distribution for an elusive malware (on June 19, 2018 by MalwareBytes Labs)
 Thanks: 
 авторам статей из раздела "Write-up"
 Michael Gillespie
 MalwareBytes Labs
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано. Чтобы написать комментарий, вы должны иметь аккаунт Google.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана. Каб напісаць каментар, вы павінны мець аккаунт Google.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано. Щоб написати коментар, ви повинні мати акаунт Google.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады. Пікір жазу үшін сізге google тіркелгісі болуы керек.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted. To write here a comment, you must have a Google account.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton