LMAOxUS

LMAOxUS Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в 0.1 BTC, чтобы вернуть файлы. Оригинальное название. Другое, указанное на файле: exeBase. Разработчик: Empinel. 

© Генеалогия: EDA2 >> Stolich (St01ich) > LMAOxUS

К зашифрованным файлам добавляется расширение .lmao

Активность этого крипто-вымогателя пришлась на начало апреля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: LMAO_READ_ME.txt

Содержание записки о выкупе:
You've been rekt by LMAOxUS. 
Your Personal Identifier is 1111111111. Keep it handy if you want your data. 
Visit ... for more info.
Your expiration date is: 4/6/2017 10:08:41 AM

Перевод записки на русский язык:
Вы были рект LMAOxUS. 
Ваш идентификатор - 1111111111. Держите его, если хотите свои данные.
Посетите ... для инфы.
Ваше время истекает: 4/6/2017 10:08:41 дня

Изображение для обоев рабочего стола

Веб-страницы сайта вымогателей

Веб-страницы сайта вымогателя и изображение для обоев также выступают информатором жертвы, о том, что её ректанули, а данные захватили.  

Распространяется по форумам, находясь внутри exe-файла Minecraft. После доработки может начать распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:

.asp, .aspx, .csv, .doc, .docx, .html, .jpg, .mdb, .odt, .php, .png, .ppt, .pptx, .psd, .sln, .sql, .txt, .xls, .xlsx, .xml (20 расширений). 

Это документы MS Office, OpenOffice, файлы веб-страниц, текстовые файлы, базы данных, фотографии и пр.

Файлы, связанные с этим Ransomware:
MinecraftLauncher.exe
minecraft_crack2.1.0-REALMS.zip
exeBase.exe
LMAO_READ_ME.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
***lmaoxus.gq***
lmaoxus@safe-mail.net
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ для Stolich >>
VirusTotal анализ для LMAOxUS >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as LMAOxUS)
 Write-up, Topic
 * 

 Thanks: 
 MalwareHunterTeam, Michael Gillespie
 Jack, Catalin Cimpanu 
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.