HappyDayzz

HappyDayzz Ransomware

BlackJockerCrypter Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0,5 биткоинов, чтобы вернуть файлы. Оригинальное название.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным и переименованным файлам добавляется расширение .happydayzz

HappyDayzz шифрует весь файл и переименовывает файлы по схеме: 
[email].<hex_random>.happydayzz

На данный момент: 
[blackjockercrypter@gmail.com].<hex_random>.happydayzz

Примеры зашифрованных файлов:
[blackjockercrypter@gmail.com].5547467959573176636D55674C53425756258417A0D0A.happydayzz
[blackjockercrypter@gmail.com].5A47567A6123527663223570626D6B3D0D0A.happydayzz

Активность этого крипто-вымогателя пришлась на вторую половину марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: How To Recover Encrypted Files.hta  

Выглядит знакомо? Да, формат записки украден у вымогателей Globe, только вписаны другие контакты. Более того, в одной из итераций Globe3 уже использовалось добавляемое расширение .happydayzz. См. статью о Globe3, обновление от 17 февраля (внизу статьи). 

Содержание записки о выкупе:
YOUR FILES ARE ENCRYPTED!
Contact Us
Email: blackjoclcercrypter@gmail.com
Skype: nsyaneksab.aked
All your files have been encrypted due to a security problem with your PC.
To restore all your files, you need a decryption.
If you want to restore them, write us to the e-mai blackjockercrypter@gmai.com .
In a letter .
You have to pay for decryption in Bitcoins.
The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
In the letter, you will receive instructions to decrypt your files!
In a response letter you will receive the address of Bitcoin-wallet, which is necessary to perform the transfer of funds.
Our tech support is available 24 \ 7
• Write on e-mail, we will help you!
Free decryption as guarantee
Before paying you can send to us up to 2 files for free decryption.
Please note that files must NOT contain valuable information and their total see must be less than 5Mb.
When the transfer is confirmed, you will receive interpreter files to your computer.
After start-interpreter program, all your files will be restored.
Attention!
• Do not rename encrypted fifes.
• Do not try to decrypt your data using third party software, it may cause permanent data loss.
• Decryption of your fies with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
• Do not attempt to remove the program or run the anti-virus tools
• Attempts to self-decrypting files will result in the loss of your data
• Decoders are not compatible with other users of your data, because each users unique encryption key

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Связь с нами
Email: blackjoclcercrypter@gmail.com
Skype: nsyaneksab.aked
Все ваши файлы были зашифрованы из-за проблем с безопасностью вашего ПК.
Чтобы восстановить все ваши файлы, вам нужно расшифровать.
Если вы хотите восстановить их, напишите нам на email blackjockercrypter@gmai.com.
В письме.
Вы должны заплатить за расшифровку в биткоинах.
Цена зависит от того, как быстро вы напишите нам.
После оплаты мы вышлем вам инструмент дешифрования, который расшифрует все ваши файлы.
В письме вы получите инструкции по расшифровке ваших файлов!
В ответном письме вы получите адрес биткоин-кошелька, который нужен для перевода средств.
Наша техническая поддержка доступна 24 \ 7
• Пишите на почту, мы вам поможем!
Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить нам до 2-х номеров для бесплатной расшифровки.
Обратите внимание, что файлы НЕ должны содержать ценную информацию, и их общий объем должен быть менее 5 МБ.
Когда передача будет подтверждена, вы получите файлы переводчика на ваш компьютер.
После запуска программы-интерпретатора все ваши файлы будут восстановлены.
Внимание!
• Не переименовывайте зашифрованные файлы.
• Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
• Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою плату к нашей), или вы можете стать жертвой мошенничества.
• Не пытайтесь удалить программу или запустить антивирусные инструменты
• Попытки самостоятельно расшифровать файлы приведут к потере ваших данных
• Декодеры не совместимы с другими пользователями ваших данных, потому что у каждого пользователя уникальный ключ шифрования

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Примечательно, что шифрование может меняться. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
How To Recover Encrypted Files.hta
<random>.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: blackjockercrypter@gmail.com
Skype: nsyaneksab.aked
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>



Примечательно, что happydaayz@aol.com, т.е. адрес с логином happydaayz используется также в крипто-вымогателях, названных GlobeImposter 2.0 Ransomware. 


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as HappyDayzz)
 Topic of Support
 * 

 Thanks: 
 xXToffeeXx
 Michael Gillespie
 MalwareHunterTeam
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.