WonderCrypter

WonderCrypter Ransomware

YouGotHacked Ransomware

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-шифрования, а затем требует выкуп в биткоинах. 

Зашифрованные файлы получают расширение .h3ll. 

В этом расширении скрыто английское слово "hell" (ад). Название вымогателя "WonderCrypter" переводится с английского как "Чудо-Криптер". 

  Второе название YouGotHacked ("Вы взломаны") принято некоторыми исследователями. Malware-аналитики отмечают, что этот крипто-вымогатель шифрует только первые 64 Кб файлов с использованием сильного алгоритма шифрования.

© Генеалогия: Bitmessage > WonderCrypter 

  Записка с требованием выкупа и инструкциями называется YOUGOTHACKED.TXT (перевод "Вы взломаны"). Для связи с вымогателями нужно использовать мессенджер BitMessenger. 

  Второй файл под названием SECRETISHIDINGHEREINSIDE.KEY (перевод "Секрет скрыт внутри") зашифрован с помощью AES-шифрования, и вероятно содержит ключ дешифровки. Обои на Рабочем столе заменяются на изображение с текстом выкупа. 

Содержание записки о выкупе: 
Hello.
All your files have been encrypted using our extremely strong private key. There is no way to recover them without our assistance.
If you want to get your files back, you must be ready to pay for them. If you are broke and poor, sorry, we cannot help you.
If you are ready to pay, then get in touch with us using a secure and anonymous p2p messenger. We have to use a messenger,
because standard emails get blocked quickly and if our email gets blocked your files will be lost forever.
Go to hxxp://bitmessage.org/, download and run Bitmessage. Click Your Identities tab > then click New > then click OK (this will generate your personal address, you need to do this just once). Then click Send tab. 

TO: BM-2cWJRWHSUdPqW66nRRV4BGTEVe1NKWPiZ3
SUBJECT: name of your PC or your IP address or both.
MESSAGE: Hi, I am ready to pay.
Click Send button. You are done. 

To get the fastest reply from us with all further instructions, please keep your Bitmessage running on the computer 
at all times, if possible, or as often as you can, because Bitmessage is a bit slow and it takes time to send and get messages. If you cooperate and 
follow the instructions, you will get all your files back intact and very, very soon. Thank you.

Перевод записки на русский язык: 
Привет.
Все ваши файлы зашифрованы с нашим очень сильным закрытым ключом. Нет способов вернуть их без нашей помощи. 
Если вы хотите вернуть файлы обратно, то должны заплатить за них. Если вы разорены и бедны, извините, мы не поможем.
Если вы готовы платить, то свяжитесь с нами через безопасный и анонимный p2p-мессенджер. Мы его используем, т.к. обычные email блокируются, а если мы не получим ответ, то ваши файлы будут утеряны.
Перейти к http://bitmessage.org, скачать и запустить Bitmessage. Нажать на Identities > New > кнопку ОК (будет генерирован ваш личный адрес, это делается только один раз). Затем клик на Send.

TO: BM-2cWJRWHSUdPqW66nRRVxxxxxxxxxxxxxxx
SUBJECT: имя вашего ПК или IP-адрес, или оба.
MESSAGE: Привет, я готов платить.
Нажмите кнопку Send.
Вы это сделали.

Для быстрого получения нашего ответа с инструкциями, пожалуйста, оставьте Bitmessage работающим на ПК, если возможно, или чаще включайте, т.к. Bitmessage небыстр, и нужно время для отправки и получения сообщений. Если будете следовать инструкциям, то получите все ваши файлы обратно и очень скоро. Спасибо.

Примечательно, что содержание записки о выкупе один в один, как у Bitmessage Ransomware. Вероятно, что за этим стоит одна и та же группа вымогателей. 

Распространяется с помощью вредоносных вложений в email-спам (макросы с документах Word, фальшивые PDF-документы и пр.). 

Попав на компьютер, вредонос оседает в одной из следующих директорий как временный файл с числовым именем, например, 123.temp: 
%Temp% (наиболее вероятный путь)
%AppData%
%Roaming%
%Windows%

Шифруются все пользовательские файлы (документы, изображения, аудио, видео и пр.) на всех подключенных локальных и внешних дисках. 

Степень распространенности: низкая.
Подробные сведения собираются.