Help50

Help50 Ransomware

Dat Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью логической операции OR, а затем указывает только email для связи. Оригинальное название: нигде не было указано. Поэтому для названия статьи и вымогателя был использован логин из почты вымогателей. 

© Генеалогия: выясняется.

Это изображение логотип статьи

К зашифрованным файлам добавляется расширение .dat

Активность этого крипто-вымогателя пришлась на конец марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: DECRYPT_FILES.txt

Содержание записки о выкупе:
help50@yandex.ru

!!! Файлы в этом образце были зашифрованы порциями по 8 Мб и безвозвратно повреждены, из-за использования необратимой логической операции OR. Уплата выкупа бесполезна!!!

!!! В новых образцах шифратора возможна расшифровка силами специалистов.
Смотрите ссылки на форум под статьей в блоке =БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS=

Технические детали

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Наиболее известным распространением, о которым сообщают пострадавшие, является фальшивое обновление для программы RedirectGen.exe, которое устанавливает шифровальщик. Этот файл представлен на анализ в апреле 2017 г. (ссылка). На VirusTotal представлен полный пакет, используемый для распространения через обновлений этого шифровальщика (ссылка). Смотрите там в разделе "Сведения о файле" файл Project1.exe и его отдельный анализ. 

Второй известный способ распространения через программу PR Manager VK. На VirusTotal представлен полный пакет, используемый для распространения через обновлений этого шифровальщика (ссылка). Смотрите там в разделе "Сведения о файле" файл Project1.exe и его отдельный анализ. 

Список файловых расширений, подвергающихся шифрованию:

.1cd, .3gp, .7z , .ac3, .ape, .avi, .bmp, .cdr, .cer, .dbf, .divx, .djvu, .doc, .docx, .dwg, .flac, .flv, .gif, .gzip, .htm, .html, .ifo, .jpeg, .jpg, .kwm, .m2v, .max, .md, .mdb, .mdf, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .p12, .pdf, .pfx, .png, .ppt, .pptx, .psd, .pwm, .rar, .tar, .txt, .vob, .wav, .wma, .wmv, .xls, .xlsx (54 расширения) + .zip в версии от 12.12.2017 (итого 55 расширений). 

Это документы MS Office, PDF, текстовые файлы, базы данных, фото и другие изображения, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
setup.exe или Setup.exe
project1.exe или Project1.exe
DECRYPT_FILES.txt или DecryptFiles.txt
RedirectGen.exe
redirectgen.exe
Qt5Core.dll
%WINDIR%\SYSTEM32\sechost.dll
%WINDIR%\system32\MSVCP100.dll

%WINDIR%\system32\MSVCR100.dll
%PROGRAMFILES%\Wireshark\Qt5Core.dll

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: help50@yandex.ru
Satana@mail.ru
URL: xxxx://bitsatan.do.am/other/RedirectGen.txt

xxxx://server64.blogspot.com/p/blog-page_4.html
См. ниже результаты анализов.

Результаты анализов:
Hybrid анализ >> HA>>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Предистория:
Информация от 15 октября 2016:
Email: Satana@mail.ru, bitSatana@mail.ru
Адреса URL из uCoz, участвовавшие в распространении вируса: 
xxxx://disembark502.clan.su/ 
xxxx://justness.clan.su/
xxxx://cashlink.do.am/
xxxx://www.sound30.usite.pro/
xxxx://kazesynelj.do.am/
Файл вредоносного проекта: D:\Projects\WinRAR\SFX\build\sfxrar32\Release\sfxrar.pdb
Файл вредоносного проекта: D:\CFILES\Projects\WinSSL\openssl-1.0.2h\out32dll\ssleay32.pdb

Файл EXE: RedirectGen.exe
Результаты анализов: HA + VT

Обновление от 30 ноября 2017:
Записка: DECRYPT_FILES.txt
Email: help50@yandex.ru
Шифрование: AES-128
Файлы можно дешифровать! 
Шифрование AES-128, выполняется со статичным ключом, который генерируется случайным образом (разный ключ при каждом запуске), потом накрывается шифром RSA-2048 и затем помещается в конец файла. Пока нет изменений в работе шифровальщика, то имея пару файлов зашифрованный и незашифрованный, можно подобрать ключ дешифрования. 
---

Обновление от 12 декабря 2017:
В список расширений добавились файлы с расширением .zip
Ключ шифрования генерируется иначе и он разный для каждого файла. Дешифрование файлов без RSA-ключа теперь практически невозможно.  

Обновление от 2 марта 2018:
Вымогатели теперь используют алгоритм RSA для шифрования файлов. 
Прежний способ дешифровки не будет работать. 

Обновление от 15 июня 2018:
Расширение: .dat
Email: blackmagic8@yandex.com
Записка: DecryptFiles.txt

➤ Содержание записки: 
blackmagic8@yandex.com
Топик на форуме >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Это непросто, но в некоторых случаях возможно.
Обращайтесь по ссылке к консультанту thyrex
Создайте там новую тему "Help50 зашифровал файлы".

 Read to links: 
 Topic on Cyberforum.ru
 ID Ransomware (ID as Help50)
 Write-up, Topic
 * 

 Thanks: 
 Thyrex, Michael Gillespie
 Andrew Ivanov
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private