среда, 2 ноября 2016 г.

Encryptss77, SFX Monster

Encryptss77 Ransomware 

SFX Monster Ransomware 

(шифровальщик-вымогатель)


Как удалить? Как расшифровать? Как вернуть данные? 
По ссылке выберите Управление "К" МВД России и подайте онлайн-заявление. 
См. также статьи УК РФ
ст. 272 "Неправомерный доступ к компьютерной информации" 
ст. 273 "Создание, использование и распространение вредоносных компьютерных программ"

Информация о шифровальщике


   Этот крипто-вымогатель шифрует данные пользователей и помещает их в самораспаковывающийся (SFX) архив с помощью файла WinRar и специального пароля, а затем требует выкуп, чтобы вернуть файлы. 

Названия получил от email вымогателей и из-за возможностей используемого ПО WinRar по созданию SFX-архива с паролем. Несколько антивирусных движков на VT выдали в графе "Результат" слово InstallMonster на созданный вредоносом файл SFX-архива.

© Генеалогия: неизвестна

К зашифрованным с помощью WinRar файлам добавляется расширение .exe, которое даётся всем SFX-файлам.

Из файлов получаются такие портянки
encryptss77@gmail.com.e0cryptss77@gmail.com.e0cr2ptss77@gmail.com.30cr0ptss77@gmail.com.00cr1ptss77@gma4l.co1.91cr6pt0477@g1531Cv8.exe 

encryptss77_gmail.com.e0cryptss77_gmail.com.e0cr2ptss77_gmail.com.10cr0ptss77_gmail.com.70cr1ptss77_gma0l.co0.31cr6pt2377_g623Check2016.exe


Активность этого криптовымогателя пришлась на июнь-август 2016 г. Ориентирован на русскоязычных пользователей.

Записки с требованием выкупа называются: 
КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt

Содержание записки о выкупе:
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ
ЧТОБЫ ИХ РАСШИФРОВАТЬ
НАПИШИТЕ НАМ НА encryptss77@gmail.com
В СООБЩЕНИИ УКАЖИТЕ IP АДРЕСС КОМПЬЮТЕРА
НА КОТОРОМ УВИДЕЛИ ЭТО СООБЩЕНИЕ
ЕГО ВЫ СМОЖЕТЕ УЗНАТЬ НА 2ip.ru
МЫ ОТВЕТИМ ВАМ В ТЕЧЕНИИ 24 ЧАСОВ

Перевод на английский язык:
YOUR FILES ARE ENCRYPTED
THAT THEIR DECRYPT
SEND EMAIL US AT encryptss77@gmail.com
IN MESSAGE INDICATE IP ADDRESS OF COMPUTER
WHERE YOU SAW THIS MESSAGE
YOU CAN FIND IT ON 2IP.RU
WE WILL REPLY TO YOU WITHIN 24 HOURS

Несколько пострадавших сообщили о взломе сервера по протоколу RDP и далее по локальной сети. По большей части атака ориентирована на повреждение баз 1С-Бухгалтерии и всего документооборота компании или учреждения, в том числе страдают подключенные облачные диски (Яндекс-диск и пр.) и неотображаемые сетевые ресурсы. 

После такой атаки НЕОБХОДИМО поменять ВСЕ пароли. Облачные диски необходимо пересоздать и удалить с жёсткого диска использованные папки, автоматически передающие файлы в этот облачный диск. Вообще технология автоматической онлайн-передачи файлов ошибочна и только наруку шифровальщикам. 

Может также распространяться с помощью email-спама и вредоносных вложений, фальшивых обновлений, перепакованных и заражённых инсталляторов с использованием методов социальной инженерии. См. также "Основные способы распространения криптовымогателей" на вводной странице блога

После шифрования удаляются исходные файлы, тома теневых копий и точки восстановления системы. В автозагрузку добавляется ссылка на файл WindowsDrivers.exe.

Список файловых расширений, подвергающихся шифрованию и архивированию:
 .111, .1cd, .1cl,.7z, .aga, .backup, .bak, .bas, .bkf, .bkp, .bpl, .cab, .cdr, .cdx, .cer, .cf, .cf, .cfg, .clme1, .config, .crt, .cs, .csv, .cub, .dat, .db, .dbf, .dd, .df7, .djvu, .doc, .docx, .dt, .efd, .eml, .epf, .erf, .ert, .fbk, .fdb, .fit, .fpt, .gbk, .gdb, .hbi, .hfld, .html, .idx, .ifo, .jpeg, .jpg, .jrxml, .key, .kwm, .lck, .ldf, .lgb, .lgd, .lgf, .lst, .md, .mdb, .mdf, .mir, .mira, .mkb, .mlg, .mp3, .mp4, .mst, .mxl, .nd, .ndf, .nup, .ods, .odt, .ord, .p12, .pck, .pdf, .pf, .pfx, .php, .png, .ppt, .pptx, .prm, .psd, .pwm, .rar, .raw, .rcd, .resx, .rpl, .rtf, .scx, .sec, .sldprt, .sql, .srx, .st, .tar, .tar, .tcb, .tgr, .tib, .tif, .tip, .trn, .txt, .ubs, .udb, .umpts, .vbox, .vdi, .vhd, .vhdx, .vmdk, .vob, .xfld, .xls, .xlsx, .xml, .xsd, .xtbl, .zbk, .zip, .zs2, .ztp (129 расширений).

Файлы, связанные с Encryptss77 Ransomware:
C:\Users\User\AppData\Roaming\System.exe
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WindowsDrivers.exe

Записи реестра, связанные с Encryptss77 Ransomware:
***
Сетевые подключения:
***

Результаты анализов:

Гибридный анализ >>
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 *
 *
 *
 Thanks: 
 Thyrex
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton