BitKangoroo

BitKangoroo Ransomware

(шифровальщик-вымогатель, деструктор)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в 1 BTC, чтобы вернуть файлы. Оригинальное название: BitKangoroo.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: родство подтверждено IntezerAnalyze

К зашифрованным файлам добавляется расширение .BitKangoroo

Активность этого крипто-вымогателя пришлась на начало мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки BitKangoroo:

Содержание записки о выкупе:
Your desktop file have been encrypted.
To unlock them, pay 1 BTC to the following address...
Every hour you wait to pay, I'll delete one of them.
Bitcoin address: 
18aRr8X8TEum1cLcCZLRZw7HJTdboSawTw
Time remaining: 40:13
Decryption key:
[Decrypt my files]
Once you have paid, send the following email adding your bitcoin address:
Click me to write the email!

Перевод записки на русский язык:
Файл на вашем рабочем столе зашифрован.
Для разблокировки оплатите 1 BTC на следующий адрес...
Каждый час в ожидании оплаты, я удалю один из них.
Биткоин-адрес:
18aRr8X8TEum1cLcCZLRZw7HJTdboSawTw
Осталось времени: 40:13
Ключ дешифрования:
[Расшифровать мои файлы]
После оплаты отправьте следующий email, добавив свой биткойн-адрес:
Нажмите, чтобы написать письмо!

Вымогатель отображает таймер с обратным отсчётом времени. При достижении 60 минут он удаляет один зашифрованный файл, сбрасывает таймер и снова отсчитывает 60 минут. 

При вводе ключа дешифровки выходит следующее предупреждение.

Содержание диалога:
Are you sure the decryption key is correct? You have ONE attempt to insert the key! If it isn't correct, all your files will be deleted!

Перевод на русский язык:
Вы уверены, что ключ дешифрования правильный? У вас есть ОДНА попытка ввода ключа! Если это не так, все ваши файлы будут удалены!

Предположительно, BitKangoroo находится в разработке и ещё не успел наследить. А как ещё объяснить его изуверские замашки: большая по сегодняшним меркам сумма выкупа в 1 BTC, таймер на удаление файлов и удаление всех зашифрованных файлов при вводе неправильного кода. 

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
BitKangoroo.exe или bitkangoroo.exe
IEAgent.exe

Расположения:
%UserProfile%\AppData\Roaming\IEAgent.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: bitkangoroo@mailinator.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Intezer анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Внимание!
Для зашифрованных файлов есть декриптер
Скачать BitKangorooDecrypter для дешифровки >>

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as BitKangoroo)
 Write-up, Topic
 * 

 Thanks: 
 Lawrence Abrams
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.