Locker-Pay

Locker-Pay Ransomware

(фейк-шифровальщик)

Этот крипто-вымогатель якобы шифрует данные пользователей с помощью AES, а затем требует написать на email вымогателей, чтобы узнать сколько заплатить и как вернуть файлы. Оригинальное название. Разработчик: windo из Польши, ранее сделавший Meteoritan. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: Meteoritan > Locker-Pay

Активность этого крипто-вымогателя пришлась на начало апреля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: your_system_has_been_locked_INSTRUCTION.txt

Содержание записки о выкупе:
Your system has been locked!
All of your files will be deleted. If you want to unlock your computer, you must have unlocking key. It's very easy =)
You have 48 hours to buy unlocking key, after your key will be deleted, and your hard disk will be formatted!
Reboot isn't helpful, if you restart the computer, you have 2 hours less time to unlock your computer.
How can I get unlocking key? Follow this steps
---
1. Send e-mail to lockerpay64©yandex.ru. In e-mail write your ID.
In turning e-mail you get a value of your key in bitcoins.
2. Get Bitcoins. Bitcoin is a cryptovalute, which can pay. Use these sites: coinbase.com, btc.com, bitgo.com, strongcoin.com
3. Pay
4. In 24 hours you get the unlocking key. If you don't see e-mail, check SPAM catalogue.
5. Enter your key in Command Prompt. Use TAB+ALT combination to switch program.
---
Your ID: locker-pay-asdr32qwe2sa2-18468
LOCKER-PAY Ramsomware 0.1 build 10

Перевод записки на русский язык:
Ваша система заблокирована!
Все ваши файлы будут удалены. Если хотите разблокировать компьютер, то вам нужен ключ разблокировки. Это просто =)
У вас есть 48 часов, чтобы купить ключ разблокировки, после этого ваш ключ будет удален, а жесткий диск отформатирован!
Перезагрузка не поможет, если перезагрузите компьютер, то у вас будет на 2 часа меньше времени для разблокировки компьютера.
Как я мне получить ключ разблокировки? Следуйте этим инструкциям
---
1. Отправьте письмо на lockerpay64©yandex.ru. В email напишите свой ID.
При ответе по email вы получите значение вашего ключа в биткойнах.
2. Получите биткойны. Биткойн - это криптовалюта, которой можно платить. Используйте эти сайты: coinbase.com, btc.com, bitgo.com, strongcoin.com
3. Оплатите
4. Через 24 часа вы получите ключ разблокировки. Если не видите e-mail, проверьте каталог SPAM.
5. Введите свой ключ в командной строке. Используйте комбинацию TAB+ALT для переключения программы.
---
Ваш ID: locker-pay-asdr32qwe2sa2-18468
LOCKER-PAY Ramsomware 0.1 build 10

Другим информатором жертвы выступает экран, имитирующий административное извещение (красные буквы на чёрном фоне). 

Запускается командой:
C:\WINDOWS\system32\cmd.exe C:\WINDOWS\system32\cmd.exe /c title Your system has been locked!

Содержание извещения то же, что и в записке. 

На самом деле Locker-Pay не шифрует, только пугает и завершает несколько процессов в системе. 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
your_system_has_been_locked_INSTRUCTION.txt
locked.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
lockerpay64@yandex.ru
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic
 * 

 Thanks: 
 Jiri Kropac
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.