ShinoLocker

ShinoLocker Ransomware

(крипто-симулятор, шифровальщик-НЕ-вымогатель)

  Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128, а затем НЕ требует выкуп в биткоинах, чтобы вернуть файлы обратно. 

Изображение принадлежит шифровальщику

ShinoLocker Ransomware Simulator был представлен в рамках презентации на Black Hat 2016. Он создан, по словам его создателя Шота Шиноги из Японии, для пен-тестинга и изучения работы шифровальщиков. 

Разница между ShinoLocker и реальным крипто-вымогателем в том, что ShinoLocker не просит реальный денежный выкуп и вам не придется платить деньги, чтобы получить ключ дешифрования. Ключ выдается "жертве" через специальную форму на официальном сайте, чтобы дешифровать файлы без выкупа и ущерба. 

Для этого нужно скопировать показанные на экране HOST ID и TRANSACTION ID, вставить их в соотвествующие поля формы "Get the Key to Decrypt" и нажать кнопку "GET THE KEY", чтобы получить ключ дешифрования.

Что делает ShinoLocker Ransomware-симулятор?
- Получает крипто-ключ c C&C-сервера (онлайн).
- Сканирует ПК для поиска файлов с заданными расширениями (по умолчанию: .avi, .bmp, .doc, .docx, .jpeg, .jpg, .mov, .mp3, .mp4, .png, .ppt, .pptx, .wav, .wmv, .xls, .xlsx).
- Шифрует файлы с помощью AES-128.
- Добавляет к зашифрованным файлам расширение .shino
- Запрашивает ключ дешифрования.
- Дешифрует зашифрованные файлы.
- Удаляет самого себя.

Поставляется в виде готового решения ShinoLocker и "сборки под себя" ShinoBuilder.

ShinoBuilder "под себя" собирается онлайн. Желающие испытать свою систему могут выбрать или отменить некоторые опции. Например, расширения шифруемых файлов, или удаления теневых копий файлов. 

Чтобы получить готовый вариант ShinoBuilder останется нажать зелёную кнопку BUILD. Для начального пен-тестинга всё же желателен умолчательный вариант.

!!! Внимание!!! Любые тесты желательно проводить на системах, где важные файлы убраны на внешний носитель, который к тому же отключен от компьютера. Или на свежеустановленной системе, где нет никаких важных файлов ни на одном из дисков. Можно просто накидать разные копии картинок и документов, чтобы потом увидеть, что с ними будет после шифрования.

Кому-то будет достаточно просто просмотреть видеоролик и не проводить никакого теста. На видео и так всё наглядно и поучительно. Ссылка на официальный сайт криптосимулятора есть под самим видеороликом. 

Также выглядят зашифрованные файлы

Список файловых расширений, подвергающихся шифрованию:
.avi, .bmp, .doc, .docx, .jpeg, .jpg, .mov, .mp3, .mp4, .png, .ppt, .pptx, .wav, .wmv, .xls, .xlsx (16 расширений).
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ShinoLockerMain.exe

Сетевые подключения и связи: 
xxxx://shinosec.com/
xxxx://shinolocker.com (188.166.237.163)
xxxx://apps.identrust.com (192.35.177.64)

Результаты анализов:
Hybrid анализ >>
VirusTotal анализ >> + VT>>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 26 февраля 2017:

Файлы: ShinoLocker.exe и ShinoLockerMain.exe

Результаты анализов: VT

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + developers Twitter
 ID Ransomware (ID as ShinoLocker)
 Write-up, Topic of Support
 🎥 Video review >>

 - видеообзор от CyberSecurity GrujaRS

 Thanks: 
 Jakub Kroustek
 Michael Gillespie
 CyberSecurity GrujaRS
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.