BaksoCrypt

BaksoCrypt Ransomware 

(шифровальщик-вымогатель)

   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128, а затем требует приобрести программу дешифровки, чтобы вернуть файлы. Название оригинальное.

© Генеалогия: my-Little-Ransomware >> Cute Ransomware > BaksoCrypt Ransomware

К зашифрованным файлам добавляется расширение .adr

Активность этого криптовымогателя пришлась на начало августа 2016 г. Ориентирован на китайскоязычных пользователей, что не мешает перевести на английский и начать распространять его по всему миру.

Записка с требованием выкупа выклядит как простое диалоговое окно с заголовком 警告 (Внимание) и написана на китайском. 

Содержание записки о выкупе:
发现您硬盘内替使用过盗版的我公司软件，所以捋您部分文件加密.
若要解密，请电邮 ***@163.com 购买相应软件!

Перевод текста на русский язык (выполнен Amigo-A):
На вашем жестком диске найдены следы использования пиратского программного обеспечения, поэтому некоторые из ваших файлов подвергнуты шифрованию.
Для дешифровки, пожалуйста, напишите на email ***@163.com чтобы приобрести соответствующее программное обеспечение!

Записка может быть продублирована в текстовом сообщении с аналогичным содержанием.

Распространяться может с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Вредонос использует rundll32.exe, чтобы запустить скрипт, который добавляет запись в реестр:
"C:\Windows\System32\rundll32.exe" javascript:"\..\mshtml,RunHTMLApplication ";document.write();shell=new%20ActiveXObject("wscript.shell");shell.regwrite("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\adr","{malware path}"

Так шифровальщик прописывается в аdnозагрузку Windows, чтобы включить автоматическое выполнение при каждом старте системы. 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
 adr = "{malware path}"

Список файловых расширений, подвергающихся шифрованию:
.3dm, .3g2, .3gp, .aaf, .accdb, .aep, .aepx, .aet, .ai, .aif, .arw, .as, .as3, .asf, .asp, .asx, .avi, .bay, .bmp, .cdr, .cer, .class, .cpp, .cr2, .crt, .crw, .cs, .csv, .db, .dbf, .dcr, .der, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dwg, .dxf, .dxg, .efx, .eps, .erf, .fla, .flv, .idml, .iff, .indb, .indd, .indl, .indt, .inx, .jar, .java, .jpeg, .jpg, .kdc, .log, .m3u, .m3u8, .m4u, .max, .mdb, .mdf, .mef, .mid, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mrw, .msg, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdb, .pdf, .pef, .pem, .pfx, .php, .plb, .pmd, .png, .pot, .potm, .potx, .ppam, .ppj, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prproj, .ps, .psd, .pst, .ptx, .r3d, .ra, .raf, .rar, .raw, .rb, .rtf, .rw2, .rwl, .sdf, .sldm, .sldx, .sql, .sr2, .srf, .srw, .svg, .swf, .tif, .txt, .vcf, .vob, .wav, .wb2, .wma, .wmv, .wpd, .wps, .x3f, .xla, .xlam, .xlk, .xll, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .zip (160 расширений).
Документы MS Office, базы данных, PDF, фотографии, музыка, видео, образы дисков и пр.

Файлы, связанные с этим Ransomware:
BaksoCrypt.exe - сам шифровальщик
DecryptBakso.exe - декриптор

Дроппированные файлы:
...\malware directory\sendBack.txt
...\malware directory\secret.txt
...\malware directory\secreatAES.txt
...\malware directory\data receive

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce      adr = "{malware path}"

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 Tweet on Twitter
 Write-up by TrendMicro
 Example (article)
 *

 Thanks: 
 JakubKroustek (AVG, Avast)
 Jeanne Jocson (TrendMicro)
 *
 *