FabSysCrypto

FabSysCrypto Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0,5 биткоинов, чтобы вернуть файлы. Оригинальное название. Среда разработки: Visual Studio 2015. Разработчик: fabsys. 

© Генеалогия: HiddenTear >> FabSysCrypto 

К зашифрованным файлам добавляется расширение .locked

Активность этого крипто-вымогателя пришлась на начало марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: _HELP_instructions.txt

Содержание записки о выкупе:
$=~~|~_+|_~+$$=$
!!! IMPORTANT INFORMATION !!!!
All of your files are encrypted with RSA-2048 and AES-128 ciphers.
More Information about the RSA and AES can be found here:
http://en.wlklpedla.org/wlkl/RSA_Ccryptosysten)
http://en.wlklpedla.org/wlkl/Advanced_Encryptlon_Standard
Decrypting of your files Is only possible with the private key and decrypt program, which Is on our secret server.
To receive your private key follow one of the links:
1. xxxx://32kl2rwsjvqjeul7.tor2web.org/56D592DC7A9DDlDB
2. xxxx://32kl2rwsjvqjeul7.onion.to/56D592DC7A9DDlDB
3. xxxx://32kl2rwsjvqjeul7.onlon.cab/56D592DC7A9DDlDB
If all of this addresses are not available, follow these steps:
1. Download and Install Tor Browser: xxxxs://www.torproject.org/download/download-easy.html
2. After a successful Installation, run the browser and wait for Initialization.
3. Type In the address bar: 32kl2rwsjvqjeul7.onlon/56D592DC7A9DDlDB
4. Follow the Instructions on the site.
!!! Your personal Identification ID: 56D592DC7A9DD1DB !!!

Перевод записки на русский язык:
!!! ВАЖНАЯ ИНФОРМАЦИЯ !!!!
Все ваши файлы зашифрованы с RSA-2048 и AES-128 шифров.
Дополнительную информацию о RSA и AES можно найти здесь:
xxxx://en.wlklpedla.org/wlkl/RSA_Ccryptosysten)
xxxx://en.wlklpedla.org/wlkl/Advanced_Encryptlon_Standard
Дешифровка файлов возможна только с закрытым ключом и декриптора, которые есть на нашем тайном сервере.
Для получения закрытого ключа перейдите по одной из ссылок:
1. xxxx://32kl2rwsjvqjeul7.tor2web.org/56D592DC7A9DDlDB
2. xxxx://32kl2rwsjvqjeul7.onion.to/56D592DC7A9DDlDB
3. xxxx://32kl2rwsjvqjeul7.onlon.cab/56D592DC7A9DDlDB
Если все эти адреса не доступны, выполните следующие действия:
1. Скачайте и установите Tor-браузер: 
xxxxs://www.torproject.org/download/download-easy.html
2. После успешной установки, запустите браузер и дождитесь инициализации.
3. Введите в адресной строке: 32kl2rwsjvqjeul7.onlon/56D592DC7A9DDlDB
4. Следуйте инструкциям на сайте.
!!! Ваш персональный идентификационный ID: 56D592DC7A9DD1DB !!!

Примечательно, что FabSysCrypto копирует записку с требованием выкупа у Locky Ransomware. 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.asp, .aspx, .csv, .doc, .docx, .html, .jpg, .mdb, .odt, .php, .png, .ppt, .pptx, .psd, .sln, .sql, .txt, .xls, .xlsx, .xml (20 расширений). 
Это документы MS Office, OpenOffice, текстовые файлы, базы данных, фотографии, веб-страницы и пр.

Файлы, связанные с этим Ransomware:
fabsyscrypto.exe
_HELP_instructions.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>  Ещё >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (n/a)
 Write-up, Topic
 *

 Thanks: 
 Karsten Hahn
 Andrew Ivanov (article author)
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.