Jager

Jager Ransomware 

(JagerDecryptor)

 Этот крипто-вымогатель шифрует данные пользователей с помощью  AES-256, а затем требует написать вымогателям, чтобы уплатить выкуп от $50 в биткоинах и вернуть файлы обратно. Название JagerDecryptor придумано самими вымогателями. Разработка: mIRC Co. Ltd.

Ключ AES шифруется с помощью RSA и добавляется к концу файла вместе с AES IV и другой информацией. У каждого зашифрованного файла в первых 4 байтах будет "!ENC". 

Записки с требованием выкупа называются: Important_Read_Me.txt и Important_Read_Me.html

 Содержание записки о выкупе: 
All your files have been encrypted with RSA-2048 and AES-256 ciphers. 
To decrypt your files you need a private key which only we have on our server and nobody else.
Decryption price: 50$
Decryption price after 24h: 100$
Decryption price after 48h: 150$
After 72h: All your files will be unrecoverable
Contact us with email for more information about price and payment process (smartfiles9@yandex.com) don't forget to include your unique id (6ADF97F83ACF6453D4A6A4B1070F3754bqkmqebajjnwj)
We will use BitCoins for payment. If you haven't used BitCoins before follow this steps:
1. Start by creating a BitCoin wallet (we recommend Blockchain.info)
2. Buy neccessary amount of BitCoins, our recommendations.
We will decrypt one file for free to show that our decryptor works. You can find this document in desktop and documents folders

 Перевод записки на русский язык (стиль сохранен): 
Все ваши файлы зашифрованы с RSA-2048 и AES-256 шифрами.
Для дешифровки файлов нужен закрытый ключ, который есть только на нашем сервере.
Цена дешифровки: 50 $
Цена дешифровки через 24 ч.: 100 $
Цена дешифровки через 48 ч.: 150 $
После 72 ч. все ваши файлы будут невозвратными
Свяжитесь с нами по email для получения ещё информации о ценах и оплате (smartfiles9@yandex.com), не забудьте указать свой ID (6ADF97F83ACF6453D4A6A4B1070F3754bqkmqebajjnwj)
Мы использeем Bitcoins для оплаты. Если вы не имеете Bitcoins, следуйте этим шагам:
1. Начните с создания кошелька Bitcoin (мы рекомендуем Blockchain.info)
2. Купите нужное количество Bitcoins, наши рекомендации.
Мы дешифруем один файл бесплатно, чтобы показать работу декриптора. Вы найдете этот документ в папке на столе и документах

Распространяется с помощью email-спама и вредоносных вложений. 

 Список файловых расширений, подвергающихся шифрованию: 
.3dm, .3ds, .3g2, .3gp, .7z, .accdb, .aes, .ai, .aif, .apk, .app, .arc, .asc, .asf, .asm, .asp, .aspx, .asx, .avi, .bmp, .brd, .bz2, .c, .cer, .cfg, .cfm, .cgi, .cgm, .class, .cmd, .cpp, .crt, .cs, .csr, .css, .csv, .cue, .db, .dbf, .dch, .dcu, .dds, .dif, .dip, .djv, .djvu, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dtd, .dwg, .dxf, .eml, .eps, .fdb, .fla, .flv, .frm, .gadget, .gbk, .gbr, .ged, .gif, .gpg, .gpx, .gz, .h, .htm, .html, .hwp, .ibd, .ibooks, .iff, .indd, .jar, .java, .jks, .jpg, .js, .jsp, .key, .kml, .kmz, .lay, .lay6, .ldf, .lua, .m, .m3u, .m4a, .m4v, .max, .mdb, .mdf, .mfd, .mid, .mkv, .mml, .mov, .mp3, .mp4, .mpa, .mpg, .ms11, .msi, .myd, .myi, .nef, .note, .obj, .odb, .odg, .odp, .ods, .odt, .otg, .otp, .ots, .ott, .p12, .pages, .paq, .pas, .pct, .pdb, .pdf, .pem, .php, .pif, .pl, .plugin, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prf, .priv, .privat, .ps, .psd, .pspimage, .py, .qcow2, .ra, .rar, .raw, .rm, .rss, .rtf, .sch, .sdf, .sh, .sitx, .sldx, .slk, .sln, .sql, .sqlite, .sqlite, .srt, .stc, .std, .sti, .stw, .svg, .swf, .sxc, .sxd, .sxi, .sxm, .sxw, .tar, .tbk, .tex, .tga, .tgz, .thm, .tif, .tiff, .tlb, .tmp, .txt, .uop, .uot, .vb, .vbs, .vcf, .vcxpro, .vdi, .vmdk, .vmx, .vob, .wav, .wks, .wma, .wmv, .wpd, .wps, .wsf, .xcodeproj, .xhtml, .xlc, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .yuv, .zip, .zipx, .dat (228 расширений)

Шифровальщик пропускает файлы, находящиеся в директориях:
Application Data, AppData, Boot, ProgramData, Program Files, Program Files (x86), System Volume Information, Temp, Windows, $Recycle.Bin

Файлы, связанные с Ransomware: 
Important_Read_Me.txt
Important_Read_Me.html
<random>.exe
C:\ProgramData\encrypted.txt - список зашифрованных файлов

 Записи реестра, связанные с этим Ransomware: 
***

Сетевые подключения и связи: 
xxxx://steamcards.xyz/ghzbvychhz/  - C2
smartfiles9@yandex.com

Детект на VirusTotal >>

 Степень распространённости: низкая. 
 Подробные сведения собираются.