LightningCrypt

LightningCrypt Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0.17 BTC, чтобы вернуть файлы. Оригинальное название: LightningCrypt ("молниеносный крипт"). Фальш-копирайт: Microsoft. Фальш-имя: ChkDsk. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .LIGHTNING

Активность этого крипто-вымогателя пришлась на последнюю неделю мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: LightningCrypt_Recover_Instructions.txt

Содержание записки о выкупе:
!LightningCrypt!
-----
ALL YOUR FILES HAVE BEEN ENCRYPTED
DONT TRY TO DELETE ME
FOR EACH TRY TO DO ANYTHING I WILL DELETE FILES
PAY 0.17 BITCOINS TO THIS ADDRESS : 1LSgvYFY7SDNje2Mhsm51FxhqPsbvXEhpE
YOU CAN BUY BITCOINS ON "BLOCKCHAIN.INFO"
SEND YOUR UNIQE ID IN THE DESCRIPTION OF THE BITCOIN PAYMENT
YOU CAN FIND THEM ON YOUR DESKTOP IN "LIGHTNINGCRYPT_UNIQEID.TXT"
AFTER THE PAYMENT YOUR FILES WILL BE DECRYPTED!
-----
!LightningCrypt!

Перевод записки на русский язык:
!LightningCrypt!
-----
Все твои файлы были зашифрованы
Не пытайся удалить меня
За каждую попытку сделать что-то я удалю файлы
Плати 0.17 биткоинов на этот адрес: 1lsgvyfy7sdnje2mhsm51fxhqpsbvxehpe
Ты можешь купить биткоины на "blockchain.info"
Отправь свой уникальный ID на написанный биткойн-платеж
Ты можешь найти его на рабочем столе в файле "lightningcrypt_uniqeid.txt"
После оплаты твои файлы будут расшифрованы!
-----
!LightningCrypt!

Другими информаторами жертвы являются экран блокировки и графическое изображение для обоев. 

Тексты почти идентичны с текстовой запиской о выкупе.  Есть лишь небольшие дополнения на экране блокировки. Привожу этот текст полностью. 

Текст с экрана блокировки:
YOU BECAME A VICTIM OF THE LIGHTNINGCRYPT RANSOMWARE! 
ALL YOUR FILES HAVE BEEN ENCRYPTED WITH RSA 2048 
DONT TRY TO DELETE ME 
FOR EACH TRY TO DO ANYTHING I WILL DELETE FILES 
PAY 0.17 BITCOINS TO THIS ADDRESS: 
1LSgvYFY7SDNje2Mhsm51FxhqPsbvXEhpE 
YOU CAN BUY BITCOINS ON "BLOCKCHAIN.INFO" 
SEND YOUR UNIQE ID IN THE DESCRIPTION OF THE BITCOIN PAYMENT 
YOU CAN FIND THEM ON YOUR DESKTOP IN "LIGHTNINGCRYPT_UNIQEID.TXT" 
AFTER THE PAYMENT YOUR FILES WILL BE DECRYPTED! 
HAVE FUN ;)
£ PAY 0.17 Bitcoins to : 1LSgvYFY7SDNje2Mhsm51FxhqPsbvXEhpE 
button [Copy BTC]

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.doc, .exe, .gif, .img, .jpg, .mp3, .pdf, .rar, .txt, .zip ...
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ChkDsk.exe - исполняемый файл;
LightningCrypt_Recover_Instructions.txt -  записка о выкупе;
LightningCrypt_Recover_Instructions.png - файл изображения;
LightningCrypt_UniqeID.txt - текст с уникальным ID жертвы.

Расположения:
%USERPROFILE%\Desktop\LightningCrypt_Recover_Instructions.txt
%USERPROFILE%\Desktop\LightningCrypt_Recover_Instructions.png
%USERPROFILE%\Desktop\LightningCrypt_UniqeID.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://arizonacode.bplaced.net (144.76.167.69:80  Германия)
xxxx://rammichael.com/downloads/7tt_setup.exe***
xxxx://lolaail.bplaced.net/4rw4w.exe***
xxxx://lolaail.bplaced.net/4rw5wdecryptor.exe***
xxxx://rammichael.com/ 
xxxx://lupa-romana.de/blog/tag/marcus-antonius/ 
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Intezer анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as LightningCrypt)
 Write-up, Topic
 * 

 Thanks: 
 MalwareHunterTeam
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.