Enjey Crypter

EnjeyCrypter Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует связаться по email с вымогателями, чтобы вернуть файлы. Оригинальное название. Другое, указанное в проекте обновлённой версии: Crypto-Locker ENJEY. Фальш-имя: Host Process for Windows Services.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется составные расширения по шаблону .encrypted.contact_here_me@india.com.enjey

.encrypted.frogobigens@india.com.enjey

Активность этого крипто-вымогателя пришлась на начало марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: README_DECRYPT.txt

Содержание записки о выкупе:
[ ENJEY CRYPTER ]
Hello, your personal identity : *****
All of your documents, photos, databases and other important data has been encrypted.
To get a decoder, please contact me by e-mail: contact_here_me@india.com
In the message write the following: " Hey, I need a decoder + your personal identifier "
You will receive Bitcoin wallet, which will need to pay.
If you have no Bitcoin wallet
- Create a Bitcoin wallet xxxxs://blockchain.info/wallet/#/signup
- Buy cryptocurrency.
- xxxxs://en.bitcoin.it/wiki/Help:FAQ (for beginners),
Attention!
- Do not try to do something on their own, you can lose all your data!
- Do not rename all files are encrypted!
[ ENJEY CRYPTER ]

Перевод записки на русский язык:
[ ENJEY CRYPTER ]
Привет, ваш личные идентификатор: *****
Все ваши документы, фото, базы данных и другие важные данные зашифрованы.
Чтобы получить декодер, пишите мне на email: contact_here_me@india.com
В сообщении напишите следующее: «Эй, мне нужен декодер + ваш личный идентификатор»
Вы получите биткойн-кошелек, на который нужно заплатить.
Если у вас нет биткойн-кошелька
- Создайте биткойн-кошелек xxxxs://blockchain.info/wallet/#/signup
Купите криптовалюту.
- xxxxs://en.bitcoin.it/wiki/Help:FAQ (для начинающих),
Внимание!
- Не пытайтесь сами  что-то делать, вы можете потерять все свои данные!
- Не переименовывайте все зашифрованные файлы!
[ ENJEY CRYPTER ]

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

После шифрования удаляет теневые копии файлов командой:
vssadmin delete shadows /all /Quiet

Список файловых расширений, подвергающихся шифрованию:
Все файлы, независимо от расширения, в их числе документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Пропускаются только файлы в директориях:
Program Files (x86)
$Recycle.Bin
Windows
Boot
System Volum Information

Файлы, связанные с этим Ransomware:
README_DECRYPT.txt
enjey.exe
<ransom>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxxs://blockchain.info/wallet/#/signup
xxxx://black-wallet.ru/css/add_text.php?data="[victim data]"
xxxxs://en.bitcoin.it/wiki/Help:FAQ
contact_here_me@india.com
frogobigens@india.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ для файла 1-й версии >>
VirusTotal анализ для файла 2-й версии >>
Другой анализ >>

Обновление от 15 марта 2017:
Версия: 2-я
Файл: doc.exe
Фальш-имя: Host Process for Windows Services
Новый Email: frogobigens@india.com (ране был замечен в Globe и AES-NI)
Результаты анализов: VT

Обновление от 5 мая 2017:
Пост в Твиттере >> 
Расширение: .encrypted.decrypter_here@freemail.hu.enjey

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Внимание!
Файлы можно дешифровать!
Обращайтесь к Майклу Джиллеспи >>

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Enjey Crypter)
 Write-up (add. March 14, 2017)
 *

 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 Karsten Hahn
 Mihay Ice

© Amigo-A (Andrew Ivanov): All blog articles.