CryptoTorLocker

CryptoTorLocker Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью XOR, а затем требует выкуп в 0,5 биткоинов (100$ USD/EUR), чтобы вернуть файлы. Название оригинальное, но на экране блокировки в заголовке указано CryptoLocker, чтобы выдать себя за более известный одноименный шифровальщик. 

© Генеалогия: CryptoTorLocker.

R зашифрованным файлам добавляется как расширение строка: .CryptoTorLocker2015!

Активность этого криптовымогателя пришлась на январь - февраль 2016 г. Ориентирован на англоязычных пользователей.

Записки с требованием выкупа разбрасываются в каждой папке с зашифрованными файлами и называются: HOW TO DECRYPT FILES.txt

После шифрования показывается информационное сообщение с тем же текстом.

Содержание записки о выкупе:
Your important files strong encryption RSA-2048 produces on this computer: Photos, Videos, documents, usb disks etc. 
Here is a complete list of encrypted files, and you can personally verify this. 
CryptoTorLocker2015! which is allow to decrypt and return control to all your encrypted files. 
To get the key to decrypt files you have to pay 0.5 Bitcoin 100$ USD/EUR.
Just after payment specify the Bitcoin Address. Our robot will check the Bitcoin ID and when the transaction will be completed, you'll receive activation, Purchasing Bitcoins, Here our Recommendations 
1. Localbitcoins.com This is fantastic service, Coinbase.com Exchange, CoinJar = Based in Australia. 
We Wait In Our Wallet Your Transaction.
WE GIVE YOU DETAILS! Contact ME if you need help My Email = information@jupimail.com 
AFTER YOU MAKE PAYMENT BITCOIN YOUR COMPUTER AUTOMATIC DECRYPT PROCEDURE START! 
YOU MUST PAY Send 0.5 BTC To Bitcoin Address: 1KpP1YGGxPHKTLgET82JBngcsBuifp3noW

Перевод записки на русский язык:
Ваши важные файлы зашифрованные сильным шифрованием RSA-2048 на этом компьютере: фото, видео, документы, USB диски и т.д. 
Здесь вы сможете найти полный перечень зашифрованных файлов, и лично убедиться в этом. 
CryptoTorLocker2015! позволяет расшифровать и вернуть управление всеми зашифрованными файлами. 
Чтобы получить ключ для расшифровки файлов, вы должны заплатить 0,5 Bitcoin 100$ USD/EUR.
Сразу после оплаты указать Bitcoin-адрес. Наш робот будет проверять Bitcoin ID и когда оплата будет завершена, вы получите активацию, Покупка Bitcoins, здесь наши рекомендации
1. Localbitcoins.com Это фантастический сервис, Coinbase.com - биржа, CoinJar = находится в Австралии. 
Мы ждем в нашем кошельке вашу плату.
Мы даем вам детали! Контакт со мной, если вам нужна помощь, мой email = information@jupimail.com
После сделанной вами оплаты в Bitcoin ваш компьютер автоматом запустит процедуру дешифровки!
ВЫ ДОЛЖНЫ ЗАПЛАТИТЬ отправив 0,5 BTC на Bitcoin-адрес: 1KpP1YGGxPHKTLgET82JBngcsBuifp3noW

По окончании шифрования обои рабочего стола заменяются на изображение, склеенное из картинок от других вымогателей, с основным текстом, как в записках о выкупе. 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.1cd, .3gp, .7z, .ac3, .ape, .avi, .bmp, .cdr, .cer, .dat, .dbf, .divx, .djvu, .doc, .docx, .dwg, .flac, .flv, .gif, .gzip, .ifo, .jpeg, .jpg, .lnk, .m2v, .max, .md, .mdb, .mdf, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .p12, .pdf, .pfx, .png, .ppt, .pptx, .psd, .rar, .sql, .tar, .torrent, .txt, .vob, .wallet, .wav, .wma, .wmv, .xls, .xlsx, .zip (56 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, общие сетевые папки и пр.

Файлы, связанные с этим Ransomware:
HOW TO DECRYPT FILES.txt
%Temp%\<random>.bmp
%Temp%\<random>.exe
Например: 
%Temp%\HOW TO DECRYPT FILES.txt
Desktop\HOW TO DECRYPT FILES.txt
%Temp%\w8i9eHkHOwWwQlX.exe
%Temp%\ocegiklmnabcefgj.bmp

Записи реестра, связанные с этим Ransomware:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Alcmeter="%Temp%\w8i9eHkHOwWwQlX.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.CryptoTorLocker2015!\@="PRPASCBHJSZLMOM"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PRPASCBHJSZLMOM\shell\open\command\@="%Temp%\ocegiklmnabcefgj.bmp"
HKLM\SOFTWARE\Classes\.CryptoTorLocker2015!
HKLM\SOFTWARE\Classes\.CryptoTorLocker2015!\@ = "PRPASCBHJSZLMOM"
HKLM\SOFTWARE\Classes\PRPASCBHJSZLMOM\@ = "CRYPTED!"
HKLM\SOFTWARE\Classes\PRPASCBHJSZLMOM\DefaultIcon\@ = "%Temp%\<random>.exe,0"
HKLM\SOFTWARE\Classes\PRPASCBHJSZLMOM\shell\open\command\@ = "%Temp%\<random>.exe"
HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Alcmeter = "%Temp%\<random>.exe"
HKCU\Control Panel\Desktop\Wallpaper = "%Temp%\<random>.bmp"

Сетевые подключения и связи:
93.189.44.187 dmidybmfxsaq.biz
93.189.44.187 aacthvhqbhbg.org
93.189.44.187 arlsolqovltp.co.uk
93.189.44.187 fyhatdpptohp.org
93.189.44.187 weotnaktbwgr.ru
93.189.44.187 ovenbdjnihhdlb.net

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>
Symantec: Ransom.CryptoTorLocker >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Для зашифрованных файлов исследователями криптовымогателей был выпущен инструмент дешифрования - CryptoTorLocker2015 Decrypter. 

 Read to links: 
 Topic on BC
 ID Ransomware (ID as CryptoTorLocker)
 Write-up
 *
 *

 Thanks: 
 Lawrence Abrams
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.