UpdateHost

UpdateHost Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в биткоинах, чтобы вернуть файлы. Название оригинальное. Фальш-имя: HostFile. Фальш-копирайт: Microsoft Copyright 2017. 

© Генеалогия: HiddenTear >> UpdateHost

К зашифрованным файлам добавляется расширение .locked

Активность этого крипто-вымогателя пришлась на январь 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются READ_IT.txt
Размещаются на рабочем столе. 

Содержание записки о выкупе:
Yor File Locked email to ghanihate@gmail.com
ComputerName: s83R39JY5R
UserName: UX4e75l
Password: OWhdVJKLq/TXDw0
List Files locked: ***

Перевод записки на русский язык:
Твои файлы блокированы пиши на email ghanihate@gmail.com
Имя ПК: s83R39JY5R
Имя юзера: UX4e75l
Пароль: OWhdVJKLq/TXDw0
Список блокированных файлов: ***

К ключу после генерации дописывается P@nt@tR@s@M3m3k. 

Ключ шифрования: <password> + M3M3K_N03R03L_L3Z@T!

<password> находится в записке и в %USERPROFILE%/password.txt

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

 .7z, .asp, .aspx, .csv, .doc, .docx, .html, .jpg, .mdb, .odt, .php, .png, .ppt, .pptx, .psd, .rar, .sln, .sql, .txt, .xls, .xlsx, .zip (22 расширения).

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
UpdateHost.exe
<random>.exe
%USERPROFILE%/password.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
ghanihate@gmail.com
ghani.hate@gmail.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>  Ещё >>  Ещё >>
Malwr анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up

 Thanks: 
 Karsten Hahn
 AlexSvirid
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.