TrumpLocker

TrumpLocker Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128 в режиме CBC (обошлось без RSA-2048, указанного в записке), а затем требует выкуп от $50 до $165 в биткоинах, чтобы вернуть файлы. На уплату выкупа даётся 72 часа. Написан на .NET Framework. Название оригинальное. Другое самоназвание: RansomNote. Фальш-копирайт: Microsoft 2017. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия:  VenusLocker > TrumpLocker 

К зашифрованным файлам добавляется расширение .TheTrumpLockerf или .TheTrumpLockerp. 

Если TrumpLocker шифрует весь файл, то добавляет расширение .TheTrumpLockerf
Если шифрует только первые 1024 байт, то добавляет расширение .TheTrumpLockerp

Содержимое кода касательно расширений

Активность этого крипто-вымогателя пришлась на февраль 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: What happen to my files.txt 

Содержание записки о выкупе:
--- The Trump Locker ---
Unfortunately, you are hacked.
1. What happened to my files?
Your personal files, including your photos, documents, videos and other important files on this computer, have been encrypted with RSA-4096, the strongest encryption algorithm. RSA algorithm generates a public key and a private key for your computer. The public key was used to encrypt your files a moment ago. The private key is necessary for you to decrypt and recover your files. Now, your private key is stored on our secret Internet server. And there is no doubt that no one can recover your files without your private key.
For further information about RSA algorithm, please refer to https://en.wikipedia.org/wiki/RSA_(cryptosystem)
2. How to decrypt my files?
To decrypt and recover your files, you have to pay 50 US Dollars for the private key and decryption service. Please note that you have ONLY 72 HOURS to complete your payment. If your payment do not be completed within time limit, your private key will be deleted automatically by our server. All your files will be permanently encrypted and nobody can recover them. Therefore, it is advised that you'd better not waste your time, because there is no other way to recover your files except making a payment.
3. How to pay for my private key?
There are three steps to make a payment and recover your files:
1). For the security of transactions, all the payments must be completed via Bitcoin network. Thus, you need to exchange 50 US dollars (or equivalent local currencies) to Bitcoins, and then send these Bitcoins (about 0.043 BTC) to the following address. 1N82pq3XovKoJ***
2). Send your personal ID to our official email: TheTrumpLocker@mail2tor.com
Your personal ID is: ***
3). You will receive a decryptor and your private key to recover all your files within one working day.
4. What is Bitcoin?
Bitcoin is an innovative payment network and a new kind of money. It is based on an open-source cryptographic protocol that is independent of any central authority. Bitcoins can be transferred through a computer or a smartphone withour an intermediate financial institution.
5. How to make a payment with Bitcoin?
You can make a payment with Bitcoin based on Bitcoin Wallet or Based on Perfect Money. You can choose the way that is more convenient for you.
About Based on Bitcoin Wallet
1) Create a Bitcoin Wallet. We recommend Blockchain.info (https://blockchain.info/)
2) Buy necessary amount of Bitcoins. Our recommendations are as follows.
LocalBitcoins.com -- the fastest and easiest way to buy and sell Bitcoins.
CoinCafe.com -- the simplest and fastest way to buy, sell and use Bitcoins.
BTCDirect.eu -- the best for Europe.
CEX.IO -- Visa / MasterCard
CoinMama.com -- Visa / MasterCard
HowToBuyBitcoins.info -- discover quickly how to buy and sell Bitcoins in your local currency.
3) As mentioned above, send about 0.043 BTC (equivalent to 50 USD) to our Bitcoin receiving address.
4) As mentioned above, and then, send us your personal ID via email, you will receive your private key soon.
About Based on Perfect Money
1) Create a Perfect Money account. (https://perfectmoney.is)
2) Visit to PMBitcoin.com. (https://pmbitcoin.com/btc)
input our Bitcoin receiving address in the \"Bitcoin Wallet\" textbox.
input 50 in the \"Amount\" textbox, the amount of Bitcoin will be calculated automatically.
click \"PAY\" button, then you can complete you payment with your Perfect Money account and local debit card.
6. If you have any problem, please feel free to contact us via official email.
Best Regards
The Trump Locker Team

Перевод записки на русский язык:
--- Trump Locker ---
К сожалению, вы взломан.
1. Что случилось с моими файлами?
Ваши личные файлы, включая ваши фотографии, документы, видео и другие важные файлы на этом компьютере, были зашифрованы с помощью RSA-4096, самыv сильныv алгоритмjv шифрования. Алгоритм RSA генерирует открытый ключ и закрытый ключ для вашего компьютера. Открытый ключ используется для шифрования файлов. Секретный ключ необходим вам, чтобы расшифровать и восстановить файлы. Теперь ваш закрытый ключ хранится на нашем секретном Интернет-сервере. И нет никаких сомнений в том, что никто не может восстановить ваши файлы без вашего секретного ключа.
Для получения дополнительной информации об алгоритме RSA, пожалуйста, обратитесь к https://en.wikipedia.org/wiki/RSA_(cryptosystem)
2. Как расшифровать мои файлы?
Для того, чтобы расшифровать и восстановить файлы, вы должны заплатить 50 долларов США за закрытый ключ и услугу дешифрования. Обратите внимание, что у вас есть только 72 часов, чтобы сделать вашу оплату. Если ваш платеж не будет завершен в срок, ваш закрытый ключ будет автоматически удален нашим сервером. Все ваши файлы останутся зашифрованными и никто не сможет их восстановить. Поэтому, рекомендуется, что вы не тратили свое время, т.к. нет иного пути, чтобы восстановить ваши файлы, кроме оплаты выкупа.
3. Как оплатить мой личный ключ?
Есть три шага, чтобы сделать оплату и восстановить файлы:
1). Для обеспечения безопасности сделок, все платежи должны быть завершены через сеть Bitcoin. Таким образом, вам нужно обменять 50 долларов США (или эквивалент в национальной валюте) в биткоины, а затем отправить эти биткоины (около 0,043 BTC) по следующему адресу. 1N82pq3XovKoJ***
2). Отправить свой ID на наш официальный email-адрес: TheTrumpLocker@mail2tor.com
Ваш личный идентификационный номер: ***
3). Вы получите дешифратор и закрытый ключ для восстановления всех файлов в течение одного рабочего дня.
4. Что такое Bitcoin?
Bitcoin является инновационной сетью оплаты и новым видом денег. Он основан на криптографическом протоколе с открытым исходным кодом, который не зависит от центрального управления. Биткоины могут быть переданы через компьютер или смартфон без промежуточного финансового учреждения.
5. Как сделать платеж с помощью Bitcoin?
Вы можете произвести оплату с Bitcoin, основанный на Bitcoin-кошельке или на основе Perfect Money. Вы можете выбрать наиболее удобный для Вас способ.
О основе Bitcoin-кошелька
1) Создать кошелек Bitcoin. Мы рекомендуем Blockchain.info (https://blockchain.info/)
2) Купить необходимое количество биткоинов. Наши рекомендации заключаются в следующем.
LocalBitcoins.com - самый быстрый и простой способ купить и продать биткоины.
CoinCafe.com - самый простой и быстрый способ купить, продать и использовать биткоины.
BTCDirect.eu - лучший для Европы.
CEX.IO - Visa / MasterCard
CoinMama.com - Visa / MasterCard
HowToBuyBitcoins.info - быстро найти, как купить и продать биткоины в местной валюте.
3) Как уже сказано выше, отправьте около 0,043 BTC (эквивалент 50 долларов США) на наш приемный Bitcoin-адрес.
4) Как уже сказано выше, затем отправьте нам свой ID по email и вы получите ваш личный ключ в ближайшее время.
О основе Perfect Money
1) Создать аккаунт Perfect Money. (https://perfectmoney.is)
2) Посещение PMBitcoin.com. (https://pmbitcoin.com/btc)
***сокращено***
6. Если у вас есть какие-либо проблемы, пожалуйста, не стесняйтесь связаться с нами по официальной электронной почте.
С наилучшими пожеланиями
Команда Trump Locker

После попытки закрыть диалог о выкупе, появляется окно с текстом:
You'd better not close this window. If you close it, you will not able to see it again. Are you sure?

Перевод на русский:
Лучше не закрывать это окно. Если вы его закроете, то не увидите его снова. Вы уверены?

К ней добавляется скринлок, т.е. изображение g4Ly4AD.jpg в стиле Anonymous, встающее обоями рабочего стола, после того, как загрузится с URL-адреса ***i.imgur.com

Содержание текста со скринлока:
You are hacked
Your personal files are encrypted
To decrypt and recover all your files, you need to pay 50 US dollars for decryption service.
1. Exchange 50 USD (or equivalent local currencies) to Bitcoins, and then send these Bitcoins to our Bitcoin receiving address: 1N82pq***
2. Send your Personal ID to our official email: TheTrumpLocker@mail2tor.com
3. You will receive your private key to recover your files within one working day.
For detailed information, please refer to the dialog or "What happen to myfiies.txt" on your desktop.

Перевод текста на русский язык:
Вы взломаны
Ваши личные файлы зашифрованы
Для дешифровки и возврата всех файлов вам нужно заплатить 50 долларов за услугу дешифровки.
1. Обменять 50 USD (или эквивалент в местной валюте) на биткоин, а затем отправить эти Bitcoins на наш Bitcoin-адрес: 1N82pq***
2. Отправьте свой ID на наш официальный email: TheTrumpLocker@mail2tor.com
3. Вы получите ваш приватный ключ для восстановления файлов за один рабочий день.
Для подробной информации, обратитесь к диалогу или "What happen to myfiies.txt" на рабочем столе.

Более подробная, чем на скринлоке, информация о выкупе имеется в экране блокировки. 

Ко всему прочему имеется ещё персонифицированное послание, состоящее из фото с новым президентом США Дональдом Трампом и надписью на фото "YOU ARE HACKED!!". 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Несмотря на упоминание алгоритма RSA-4096 в тексте записки о выкупе, на самом деле он не используется. Ключ для шифрования приходит с сервера, генерируется с использованием связки "имя компа" + "имя учётки". 

После получения открытого ключа шифрования вымогатель Trump Locker начинает процесс шифрования файла, отличающийся от обычных правил. В коде шифровальщика, как обычно, содержится список файлов, предназначенных для шифрования, но полностью он шифрует только определённые типы файлов. У других же он шифрует только первые 1024 байт. Такое поведение также было замечено в предыдущих версиях VenusLocker.

При шифровании файлов исходное имя файла кодируется с помощью base64, а уже затем к зашифрованному файлу добавляется новое расширение. Эта операция усложняет идентификацию конфиденциальных файлов.

Теневые копии файлов после шифрования удаляются командой:
C:\\Windows\\system32\\wbem\\wmic.exe shadowcopy delete&exit

Список файловых расширений, подвергающихся полному шифрованию (добавляется расширение .TheTrumpLockerf):

.asp, .c, .cc, .class, .cpp, .cs, .css, .csv, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dwg, .dxf, .h, .html, .ini, .jar, .java, .log, .msg, .php, .pl, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .py, .rtf, .sldm, .sldx, .txt, .wpd, .wps, .xla, .xlam, .xll, .xlm, .xls, .xlsb,  .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml (56 расширений). 

Список файловых расширений, подвергающихся неполному шифрованию (добавляется расширение .TheTrumpLockerp):
.1cd, .3d, .3d4, .3df8, .3fr, .3g2, .3gp, .3gp2, .3mm, .7z, .aac, .aaf, .abk, .abw, .ac3, .accdb, .ace, .act, .ade, .adi, .adpb, .adr, .adt, .aep, .aepx, .ai, .aim, .aip, .ais, .amf, .amr, .amu, .amx, .amxx, .ans, .ap, .ape, .api, .arc, .ari, .arj, .aro, .arr, .arw, .as, .as3, .asa, .asc, .ascx, .ase,.asf, .ashx, .asmx, .asp, .asr, .avi, .avs, .bak, .bay, .bck, .bdp, .bdr, .bib, .bic, .big, .bik, .bkf, .blp, .bmc, .bmf, .bml, .bmp, .boc, .bp2, .bp3, .bpl, .bsp, .cag, .cam, .cap, .car, .cbr, .cbz, .cc, .ccd, .cch, .cd, .cdr, .cer, .cfg, .cgf, .chk, .class, .clr, .cms, .cod, .col, .cp, .cpp, .cr2, .crd, .crt, .crw, .cs, .csi, .cso, .csv, .ctt, .cty, .cwf, .dal, .dap, .dat, .db, .dbb, .dbf, .dbx, .dcp, .dcr, .dcu, .ddc, .ddcx, .dem, .der, .dev, .dex, .dic, .dif, .dii, .dir, .disk, .divx, .diz, .djvu, .dmg, .dng, .dob, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dox, .dpk, .dpl, .dpr, .dsk, .dsp, .dvd, .dvi, .dvx, .dwg, .dxe, .dxf, .dxg, .eat, .elf, .eps, .eql, .erf, .err, .euc, .evo, .ex, .exif, .f90, .faq, .fcd, .fdr, .fds, .ff, .fla, .flp, .flv, .for, .fpp, .gam, .game, .gif, .grf, .grle, .gthr, .gz, .gzig, .h3m, .h4r, .htm, .html, .idml, .idx, .img, .indb, .indd, .indl, .indt, .ini, .ink, .inx, .ipa, .isu, .isz, .itdb, .itl, .iwd, .jar, .jav, .java, .jc, .jfif, .jgz, .jif, .jiff, .jpc, .jpeg, .jpf, .jpg, .jpw, .js, .kdc, .kmz, .kwd, .lbi, .lcd, .lcf, .ldb, .lgp, .log, .lp2, .ltm, .ltr, .lvl, .mag, .man, .map, .max, .mbox, .mbx, .mcd, .md3, .mdb, .mdf, .mdl, .mdn, .mds, .mef, .mic, .mip, .mlx, .mod, .moz, .mp3, .mp4, .mpeg, .mpg, .mrw, .msg, .msp, .mxp, .nav, .ncd, .nds, .nef, .nfo, .now, .nrg, .nri, .nrw, .odb, .odc, .odf, .odi, .odm, .odp, .ods, .odt, .oft, .oga, .ogg, .opf, .orf, .owl, .oxt, .p12, .p7b, .p7c, .pab, .pak, .pbf, .pbp, .pbs, .pcv, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pkb, .pkh, .pl, .plb, .plc, .pli, .pm, .pmd, .png, .pot, .potm, .potx, .ppam, .ppd, .ppf, .ppj, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prc, .prel, .prproj, .prt, .psa, .psd, .pst, .ptx, .puz, .pwf, .pwi, .pxp, .qbb, .qdf, .qel, .qif, .qpx, .qtq, .qtr, .r3d, .ra, .raf, .rar, .raw, .res, .rev, .rgn, .rng, .rpt, .rrt, .rsrc, .rsw, .rte, .rtf, .rts, .rtx, .rum, .run, .rv, .rw2, .rwl, .sad, .saf, .sav, .scm, .scn, .scx, .sdb, .sdc, .sdn, .sds, .sdt, .sen, .sfs, .sfx, .sh, .shar, .shr, .shw, .sldm, .sldx, .slot, .slt, .snp, .so, .spr, .spv, .sql, .sqx, .sr2, .srf, .srt, .srw, .ssa, .std, .stt, .stx, .sud, .sv5, .svg, .svi, .svr, .swd, .swf, .tar, .tax2013, .tax2014, .tbz2, .tch, .tcx, .text, .tg, .thmx, .tif, .tlz, .tpu, .tpx, .trp, .tu, .tur, .txd, .txf, .txt, .uax, .udf, .umx, .unr, .unx, .uop, .upoi, .url, .usa, .usx, .ut2, .ut3, .utc, .utx, .uvx, .uxx, .val, .vc, .vcd, .vdo, .ver, .vhd, .vmf, .vmt, .vsi, .vtf, .w3g, .w3x, .wad, .war, .wav, .wave, .waw, .wb2, .wbk, .wdgt, .wks, .wm, .wma, .wmd, .wmdb, .wmmp, .wmv, .wmx, .wow, .wpd, .wpk, .wpl, .wps, .wsh, .wtd, .wtf, .wvx, .x3f, .xl, .xla, .xlam, .xlc, .xlk, .xll, .xlm, .xlr, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlv, .xlw, .xlwx, .xml, .xpi, .xpt, .xqx, .xvid, .xwd, .yab, .yps, .z02, .z04, .zap, .zip, .zipx, .zoo (511 расширений).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы, бэкапы, файлы прикладных программ и пр.

Шифровальщик пропускает директории: 
Program Files, Program Files (x86), Windows, Python27, Python34, AliWangWang, Avira, wamp, Avira, 360, ATI, Google, Intel, Internet Explorer, Kaspersky Lab, Microsoft Bing Pinyin, Microsoft Chart Controls, Microsoft Games, Microsoft Office, Microsoft.NET, MicrosoftBAF, MSBuild, QQMailPlugin, Realtek, Skype, Reference Assemblies, Tencent, USB Camera2, WinRAR, Windows Sidebar, Windows Portable Devices, Windows Photo Viewer, Windows NT, Windows Media Player, Windows Mail, NVIDIA Corporation, Adobe, IObit, AVAST Software, CCleaner, AVG, Mozilla Firefox, VirtualDJ, TeamViewer, ICQ, java, Yahoo!

Файлы, связанные с этим Ransomware:
TrumpLocker.exe - исполняемый файл вымогателя и экран блокировки;
RansomNote.exe - экран с фото Дональда Трампа
What happen to my files.txt - текстовая записка о выкупе;
bg.jpg - скринлок на обои рабочего стола;
uinf.uinf - файл с информацией, полученной от C2-сервера. 

Расположения:
C:\Users\User_name\Desktop\What happen to my files.txt 
C:\Users\User_name\g4Ly4AD.jpg
C:\Users\User_name\Desktop\RansomNote.exe
%Temp%\uinf.uinf

Записи реестра, связанные с этим Ransomware:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\TheTrumpLocker    %Desktop%\RansomNote.exe
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://i.imgur.com/g4Ly4AD.jpg
3q27hfpradjovwyo.onion.cab
TrumpLocker@mail2tor.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Malwr анализ >>

Степень распространённости: низкая.
TrumpLocker больше не распространяется.
Подробные сведения собраны и указаны ниже.

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as TrumpLocker)

 Write-up (add. February 22, 2017)
 Video review (add. February 22, 2017)

 Thanks: 
 BleepingComputer: Lawrence Abrams, Catalin Cimpanu
 MalwareHunterTeam
 Michael Gillespie
 Alex Svirid
 GrujaRS

© Amigo-A (Andrew Ivanov): All blog articles.