MOTD

MOTD Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные на сайтах с помощью AES/RSA, а затем требует выкуп в 2 биткоина, чтобы вернуть файлы. Оригинальное название.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .enc

Активность этого крипто-вымогателя пришлась на начало марта 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: motd

★ Для справки:
motd - стандартный текстовый файл в Unix-системе, содержит "сообщение дня", используемое для отправки общего сообщения всем пользователям. 

Содержание записки о выкупе:
!WARNING!
YOU ARE INFECTED
WITH THE MOST CRYPTOGRAPHIC ADVANCED RANSOMWARE
All your data of all your users, all your databases and all your Websites are encrypted
Send your UID to e-mail: sook2serit@seznam.cz
YOUR UUID IS: 28e37776-ab3e-12c6-aa5a-1la02ms0w8bp
!WARNING!

Перевод записки на русский язык:
ПРЕДУПРЕЖДЕНИЕ!
ВЫ ЗАРАЖЕНЫ
САМЫМ КРИПТОГРАФИЧЕСКИ ПРОДВИНУТЫМ RANSOMWARE
Все ваши данные всех ваших пользователей, все базы данных и сайты зашифрованы
Пошли свой UID на email: sook2serit@seznam.cz
ВАШ UUID: 28e37776-ab3e-12c6-aa5a-1la02ms0w8bp
ПРЕДУПРЕЖДЕНИЕ!

Первые 8 байт зарезервированы для хранения оригинального размера файла, а остальное содержание зашифровано. 

Распространяется с помощью целевых атак на серверы с помощью удалённого доступа. 

В перспективе может начать распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это серверные файлы, документы на сайтах, текстовые и графические файлы, базы данных, архивы и пр.

Файлы, связанные с этим Ransomware:
server-key.enc
motd

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
50.56.221.73
sook2serit@seznam.cz
nporchi79@seznam.cz
johnmorcbw@seznam.cz
peyton7zdupont@seznam.cz
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 23 июля 2017:
Топик на форуме >>
Расширение: .enc1 
Расширение: .enc2
Email: beauchamp.tammie@mail.ru
Содержание записки:
****************************************!WARNING!************************************************
******************************YOUR SERVER ARE INFECTED*******************************************
*******ALL YOUR DATABASES, SITES AND USERS HOME DIRECTORIES HAVE BEEN ENCRYPTED******************
=================================================================================================
YOUR UUID IS : 321809823178739217389217398217120392193893725897638217782601690971287794612871293
=================================================================================================
If you want to restore your files, send your UUID to  e-mail: beauchamp.tammie@mail.ru
You have to pay for decryption in Bitcoins. The price depends on how fast you write to
us. After payment we will send you the decryption tool that will decrypt all your files.
FREE DECRYPTION AS GUARANTEE
Before paying you can send to us up to 1 files for free decryption.
Please note that files must NOT contain valuable information
and their total size must be less than 1Mb
*************************************************************************************************
*************************************************************************************************
****************************************!WARNING!************************************************

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Topic of Support
 ID Ransomware (ID as MOTD)
 Write-up, Topic of Support + Topic
 * 

 Thanks: 
 BleepingComputer
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.