Bucbi

Bucbi Ransomware 

(шифровальщик-вымогатель) 

Translation into English

   Этот крипто-вымогатель шифрует данные пользователей с помощью ГОСТ-28147-89, а затем требует выкуп в 0,5 биткоинов или меньше (например, 0.00896 биткоинов), чтобы вернуть файлы. Сумма выкупа может быть и 5 биткоинов, если был скомпрометирован сервер компании. На уплату выкупа даётся 72 часа. Название оригинальное. 

© Генеалогия: Bucbi 2014 > Bucbi 2016.

К зашифрованным файлам никакое расширение не добавляется. Оригинальные название и расширение у зашифрованных файлов не меняются. 

Более ранние варианты распространялись в конце 2013 - в 2014 году. Активность этого варианта крипто-вымогателя Bucbi пришлась на апрель-май 2016 г., но новые образцы были замечены в октябре и ноябре 2016 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Распространение шло из Украины, но кем бы не был создан и/или модифицирован данный вымогатель, это только лишний раз подтверждает, что у киберпреступников нет ни национальности, ни родины. 

Записки с требованием выкупа называются: README.txt

Содержание записки о выкупе:
We are members of Ukrainian Right Sector.
You are taking money wolrdwide until we are fighting with world's evil into the East of our Motherland.
To decrypt files you need to obtain a private key.
You have to transfer 5 btc into the our account 1Mfvklut*** for us.
Also you have to send message for us to e-mali: dopomoga.rs@gmail.com.
After it you'll get the cryptokey for decrypt your files.
Regards.
Your defenders.

Перевод записки на русский язык:
Мы являемся членами украинского правого сектора.
Вы имеете деньги со всего мира, пока мы боремся ***.
Для расшифровки файлов вам необходимо получить закрытый ключ.
Вы должны передать 5 в BTC на наш кошелек 1Mfvklut ***.
Кроме того, вы должны отправить письмо на e-mali: dopomoga.rs@gmail.com
После этого вы получите крипто-ключ для расшифровки файлов.
С уважением.
Ваши защитники.

Текст о выкупе также дублируется в блокировщике экрана.

 

Методы распространения версии 2016 года: брутфорс-атака по RDP (протокол удаленного рабочего стола) с помощью утилиты RDP Brute и уже в меньшей степени с помощью эксплойтов или фишинг-писем (ранее зараженные email-вложения и эксплойты на взломанных сайтах использовались в большей степени). Наблюдается ориентированность на корпоративные серверы и банковский сектор.

Список файловых расширений, подвергающихся шифрованию:
.3fr , .accdb, .arw, .bay, .bmp, .cdr, .cer, .chm, .cpp, .cr2, .crt, .crw, .csv, .cxx, .dbf, .dcr, .der, .djvu, .dng, .doc, .docm, .docx, .dwg, .dxf, .dxg, .eps, .erf, .fb2, .gif, .img, .indd, .jpe, .jpeg, .jpg, .kdc, .mdb, .mdf, .mef, .mht, .mrw, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .pht, .ppt, .pptm, .pptx, .psd, .pst, .ptx, .r3d, .raf, .rar, .raw, .rtf, .rw2, .rwl, .sr2, .srf , .srw , .sxw , .tif , .txt , .wb2 , .wpd , .wps , .x3f , .xlam , .xlk , .xls , .xlsb , .xlsm , .xlsx , .xltm , .xltx , .zip (90 расширений). 

Файлы шифруются на локальных и сетевых дисках, если они подключены. 

Файлы, связанные с Bucbi Ransomware:
ukraine.exe
README.txt
C:\ProgramData\<random_letter_name>
C:\Documents and Settings\<USER>\Local Settings\Application Data\<random_letter_name>
C:\Documents and Settings\<USER>\Local Settings\Application Data\<random_name>.exe
C:\Documents and Settings\All Users\<random_letter&numeral_name>.log 

Записи реестра, связанные с Bucbi Ransomware:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run       value: "@"

Сетевые подключения и C&C-серверы:
bbb.bth.in.ua
shalunishka12.org
ceckiforeftukreksyxomoa.org
87.249.215.196
chultolsylrytseewooketh.biz

Результаты анализов:
VirusTotal анализ 4 апреля 2016 >>
VirusTotal анализ 25 апреля 2016 >>
Гибридный анализ 26 октября >>
VirusTotal анализ 26 октября >>
VirusTotal анализ 7 ноября >>


Степень распространённости: средняя.
Подробные сведения собираются.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Старый вариант:
Штамп времени: 30 декабря 2013
URL Malware: xxxx://bbb.bth.in.ua/
Файл: FileCrypt.exe

Результаты анализов: VT

Обновление от 6 июля 2016:
Новая записка о выкупе: readme.txt
Тема на BC >>
Скриншот записки: 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Palo Alto Networks
 Microsoft Threat Encyclopedia
 *
 *

 Thanks: 
 Palo Alto Networks
 Andrew Ivanov, Gruja
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.