среда, 1 февраля 2017 г.

DUMB

DUMB Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей с помощью XOR/AES, а затем требует выкуп в 0,3169 биткоинов, чтобы вернуть файлы. Название оригинальное.

© Генеалогия: выясняется.

К зашифрованным файлам никакое расширение не добавляется.

Активность этого крипто-вымогателя пришлась на начало февраля 2017 г. Ориентирован на англоязычных и турецкоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: oku_beni.txt
Размещаются в каждой папке с зашифрованными файлами. Тот же текст написан также на экране блокировки. 
Реконструкция записки о выкупе

Скриншот экрана блокировки

Содержание записок о выкупе:
На английском: 
You have been struck with Ramsomeer
1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ
Your files have been encrypted, in fourty-eight hours the key to decrypt your files will be deleted unless you deposit 0.3169 bitcoins into our private bitcoin wallet. Do not shutdown your pc. When we received the bitcoin amount, your files will be recovered.
Send bitcoins to this address: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ

На турецком: 
Dosyalariniz sifrelendi, 48 saat icinde 0.3169 bitcoins gondermezsen dosyalariniz silinecek. Bitcoins asagidaki adrese gonder. Biz bitcoins alinca program dosyalari geri verecek otomatik.
Bu adrese bitcoins gonder: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ

Перевод записки на русский язык:
Вы были поражены Ramsomeer
Ваши файлы зашифрованы, через 48 часов ключ дешифрования ваших файлов будет удален, если вы не переведёте 0.3169 биткоина на наш Bitcoin-кошелек. Не отключайте ваш компьютер. Когда мы получим биткоины, ваши файлы будут восстановлены.

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.asp, .cs, .css, .doc, .docx, .gif, .htm, .html, .ico, .jpeg, .jpg, .js, .png, .ppt, .pptx, .psd, .rar, .rtf, .txt, .vb, .xls, .xlsx, .zip (23 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, архивы и пр.

Файлы, связанные с этим Ransomware:
DUMB.exe
oku_beni.txt
fatura_bilgi_2016_1921680123.pdf.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC: 1CYEW6eG8TL5RfsH22C91ByeRhcE5vsfpQ
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.


=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 19 июня 2017:
Пост в Твиттере >>
Польский вариант
Файл: DUMB.exe
Сумма выкупа: 1880 zl
Результаты анализов: VT


Обновление от 16 октября 2017:
Иранский вариант
Файл: DUMB.exe
Сумма выкупа: $15
Результаты анализов: VT
См. статью Tyrant Ransomware >>





Обновление от 9 января 2018:
Пост в Твиттере >>
Файл: DUMB.exe
На файле написано: CRYPTWALKER
Результаты анализов: VT + VB
Тестовая версия, шифрует только в папке "Documents/TEST/". Имена файлов не меняются. Не шифрует, если в папке есть файл с именем "crypted".




=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter
 Write-up 
 ID Ransomware
 *
 Thanks: 
 Karsten Hahn
 Tomas Meskauskas (pcrisk.com)
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton