воскресенье, 12 июня 2016 г.

Apocalypse

Apocalypse Ransomware

ApocalypseVM Ransomware

(шифровальщик-вымогатель)


Как удалить? Как расшифровать? Как вернуть данные? 
По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 
См. также статьи УК РФ
ст. 159.6 "Мошенничество в сфере компьютерной информации"
ст. 272 "Неправомерный доступ к компьютерной информации" 
ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике


   Этот крипто-вымогатель шифрует данные пользователей с помощью алгоритма XOR, а затем требует связаться с вымогателями для получения Bitcoin-адреса для оплаты. Нужно заплатить 1 биткоин, чтобы получить дешифровщик. Англоязычные пострадавшие сообщают о сумме в $100 долларов. Цели шифрования: базы данных, документы, PDF, фотографии, музыка, видео, общие сетевые папки и пр. Зашифрованные файлы получают расширение .encrypted. Название Apocalypse дано его разработчиками. Вымогатели из Украины, но у них могут быть помощники в других странах. 

© Генеалогия: Apocalypse > ApocalypseVM, Dr. Jimbo, SecureCryptor, Apocalypse-Unavailable, Al-NamroodEsmeralda, Kangaroo, Missing и другие. 

  Записка о выкупе называется .How_To_Decrypt.txt (Как дешифровать).
Предлагаемый в записке контактный email: decryptionservice@mail.ru
Записка о выкупе и экран блокировки

Содержание записки о выкупе:
IF YOU ARE READING THIS MESSAGE, ALL THE FILES IN THIS COMPUTER HAVE BEEN CRYPTED!!
documents, pictures, videos, audio, backups, etc
IF YOU WANT TO RECOVER YOUR DATA, CONTACT THE EMAIL BELOW.
EMAIL: decryptionservice@mail.ru
WE WILL PROVIDE DECRYPTION SOFTWARE TO RECOVER YOUR FILES.
IF YOU DONT CONTACT BEFORE 72 HOURS, ALL DATA WILL BE LOST FOREVER

Перевод записки на русский язык:
ЕСЛИ ВЫ ЧИТАЕТЕ ЭТО СООБЩЕНИЕ, ВСЕ ФАЙЛЫ В ЭТОМ КОМПЬЮТЕРЕ ЗАШИФРОВАНЫ
документы, изображения, видео, аудио, бэкапы и т.д.
ЕСЛИ ВЫ ХОТИТЕ ВОССТАНОВИТЬ ДАННЫЕ, ПИШИТЕ НА ПОЧТУ.
E-MAIL: decryptionservice@mail.ru
МЫ ПРИШЛЕМ ДЕШИФРОВЩИК ДЛЯ ВОССТАНОВЛЕНИЯ ВАШИХ ФАЙЛОВ.
ЕСЛИ ВЫ НЕ ОТВЕЧАЕТЕ ДО 72 ЧАСОВ, ВСЕ ДАННЫЕ БУДУТ НАВСЕГДА ПОТЕРЯНЫ

В записке в разных версиях указаны разные email:
decryptionservice@mail.ru - в Apocalypse 
decryptservice@inbox.ru - в ApocalypseVM

  Примечательно, что записка с требованием выкупа создается для каждого зашифрованного файла. Например, если Apocalypse шифрует файл с именем test.jpg, то будет создан зашифрованный файл test.jpg.encrypted и файл-записка с именем test.jpg.encrypted.How_To_Decrypt.txt .


Технические детали

  Apocalypse устанавливается в C:\Program Files (x86)\windowsupdate.exe 
Прописывается в автозагрузку Windows под именем Windows Update Svc, чтобы запускаться всякий раз, когда пользователь входит в систему. После запуска он отображает экран блокировки с текстом, как в записке о выкупе. 

Удаляет теневые копии файлов командой:
cmd.exe /c vssadmin delete shadows /all /quiet 

  При первом и последующих запусках Apocalypse будет шифровать все найденные файлы, за исключением тех, что находятся в папке Windows, и тех, которые имеют расширения: .encrypted, .dat, .bat, .bin, .ini, .tmp, .lnk, .com, .msi, .sys, .dll, .exe. 

  Когда вымогатель закончит шифрование файлов, будет отображаться экран блокировки, который блокирует доступ к рабочему столу Windows.

  Вы можете перезагрузить систему в безопасном режиме, чтобы обойти экран блокировки и запустить декриптер для дешифровки файлов.

Файл, связанный с Apocalypse Ransomware:
C:\Program Files (x86)\windowsupdate.exe

Запись реестра, связанная с Apocalypse Ransomware:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Windows Update Svc     C:\Program Files (x86)\windowsupdate.exe

Степень распространенности: высокая, включая клоны.
Подробные сведения собираются регулярно.



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===


Дополнение от 18 июня 2016
Новая версия: ApocalypseVM использует VMProtect для своей защиты. 
Записка о выкупе: [filename].How_To_Get_Back.txt
Добавляемые расширения: .encrypted и .locked
Почта вымогателей: decryptionservice@inbox.ru и decryptdata@inbox.ru
Вымогатели изменили ключи шифрования.
Emsisoft выпустили декриптер для ApocalypseVM.

Дополнение от 30 июня 2016

Добавляемые расширения: .FuckYourData и .SecureCrypted
Новая записка о выкупе для каждого файла .Contact_Here_To_Recover_Your_Files.txt
Теперь шифровальщик не трогает файлы с расширением .SecureCrypted и текстовую записку .Contact_Here_To_Recover_Your_Files.txt
Подробнее >> 

Дополнение от 7 июля 2016
Добавляемое расширение: .bleepYourFiles
Новая записка о выкупе для каждого файла .Where_my_files.txt

Дополнение от 10 июля 2016

Новая версия: Apocalypse-Unavailable
Добавляемое расширение: .unavailable
Новая записка о выкупе для каждого файла Read_Me.txt

Дополнение от 6 августа:

Добавляемое расширение: .Encryptedfile
Почта вымогателей: ransomware.attack@list.ru

Обновление от 4 декабря 2016:

Пост в Твиттере >>
Записка: [md5].txt (пример: 48D353168099CBAF04D6BB52FE1CDAC5.TXT)
Email: cryptservice@inbox.ru
Расширение: .[random_7_chars]
Шаблон расширения: [filename].ID-[8chars]+[countrycode]+[cryptservice@inbox.ru].[random_7_chars] (пример: 48D353168099CBAF04D6BB52FE1CDAC5.TXT)

Обновление от 20 декабря 2016:

Пост в Твиттере >>
Записка: [md5].txt (пример: 48D353168099CBAF04D6BB52FE1CDAC5.TXT)
Email: cryptcorp@inbox.ru
Расширение: .[random_13_chars] или .[a-z0-9]{13} - это одно и тоже
Шаблон расширения: [filename].ID-[8chars]+[countrycode]+[cryptcorp@inbox.ru].[random_13_chars] (пример: 48D353168099CBAF04D6BB52FE1CDAC5G6HJC8.TXT)
иначе и короче
filename.ID-[A-F0-9]{8}+countrycode[cryptcorp@inbox.ru].[a-z0-9]{13}

Обновление от 26 апреля 2017:
См. статью Apocalypse-Missing Ransomware
Расширение: .missing 
Записка: <note_title>.txt / добавляется к названию каждого файла как составное расширение: .<note title>.txt
Email: recovery@mail15.com
Результаты анализов: HA + VT






=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание!
Для зашифрованных файлов есть дешифровщики
Скачать ApocalypseDecrypter для дешифровки >>
Скачать ApocalypseVMDecrypter для дешифровки >>
С появлением новых версий дешифровщики обновляются!
Для более новых версий декриптер может не сработать.
 Read to links: 
 Tweet on Twitter
 ID Ransomware (Apocalypse, Apocalypse VM, Apocalypse (New Variant))
 Write-up, Topic of Support
 * 
 Thanks: 
 Fabian Wosar, Lawrence Abrams
 Michael Gillespie
 Andrew Ivanov
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.


Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton