Havoc

Havoc Ransomware

HavocCrypt Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп $150 в биткоинах, чтобы вернуть файлы. Оригинальное название: Havoc RW. Комментарий к файлу вымогателя: Will bring Havoc to your PC. разработчик: Royal Binarys.

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение _lnk.HavocCrypt 
Кроме того, собственное расширение файла удаляется. 
Более того, окончание _lnk.HavocCrypt добавляется даже к названию даже папок. См. видеоролик в конце статьи. 

Активность этого крипто-вымогателя пришлась на январь 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки.

Содержание записки о выкупе:
Havoc Ransomware MK II
You have fallen victim to Havoc ransomware, written by yours truely, BinaryEmperor.
All of your important files have been encrypted using an advanced & uncrackable encryption.
To retrieve your files, it is simple of course. But for a moderate fee.
A one time payment of $150 in Bitcoin will do.
Once you have paid the previously specified amount to the address, contact us by our email below.
Upon contact and payment confirmation, you will recieve a decryption key, to recover your files.
If the payment is not made within 48 hours [2 Days] your key will be lost forever.
Time left: 47:59:57
Shutting down, or closing of this application in any way, Will result in loss of your decryption key!
Our Bitcoin Address: 12KBNwBHV5Sx6w8z9tXbt2t9BWrZzCejXo  "Copy Address"
Our email Address: HavocPayday@Sigaint.Org  "Copy Address"
Your Victim ID: 6vA594VZd88SDpOwSQn9+dOCIowzwv/V8/nEQAl  "Copy ID"
Paid the ransom? 
Great! Lets get to decrypting your files. Enter your decryption key emailed to you below!
"Decryption Key Here"   "Decrypt My files"   Tries left: 5

Перевод записки на русский язык:
Havoc Ransomware MK II
Вы пали жертвой Havoc Ransomware, написанного для ваших поистине, BinaryEmperor.
Все ваши важные файлы были зашифрованы с помощью усовершенствованного и невзламываемого шифрования.
Извлечь файлы, конечно, просто. Но за умеренную плату.
Единственный платеж в размере $150 в Bitcoin нужно сделать.
После того, как вы оплатили ранее указанную сумму по адресу, свяжитесь с нами по нашему email ниже.
После контакта и подтверждения оплаты, вы получите ключ дешифрования, чтобы восстановить ваши файлы.
Если оплата не будет сделана в течение 48 часов [2 дней] ваш ключ будет потерян навсегда.
Времени осталось: 47:59:57
Выключение или закрытие этого приложения в любом случае приведет к потере ключа дешифрования!
Наш Bitcoin-адрес: 12KBNwBHV5Sx6w8z9tXbt2t9BWrZzCejXo кн. "Копировать адрес"
Наш email: HavocPayday@Sigaint.Org кн. "Копировать адрес"
Ваша жертва ID: 6vA594VZd88SDpOwSQn9+dOCIowzwv/V8/nEQAl кн. "Копировать ID"
Уплатили выкуп? 
Отлично! Можно приступать к расшифровке файлов. Введите ниже ваш ключ дешифрования из email и приступайте!
"Decryption Key Here"   "Decrypt My files"   Tries left: 5

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Для успешной работы шифровальщика в системе должен быть установлен .NET Framework 4.5. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, общие сетевые папки и пр.

Файлы, связанные с этим Ransomware:
Havoc.exe
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
HavocPayday@Sigaint.Org
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 Video review
 ID Ransomware
 *
 *

 Thanks: 
 Jiri Kropac
 GruyaRS
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.