SintaLocker

SintaLocker Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $100 в BTC, чтобы вернуть файлы. Оригинальное название. Написан на Python. 

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: CryPy > SintaLocker

К зашифрованным файлам добавляется расширение *нет данных*.

Активность этого крипто-вымогателя пришлась на конец мая 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: README_FOR_DECRYPT.txt

Содержание записки о выкупе:
All your files are encrypted by with strong chiphers.
Decrypting of your files is only possible with the decryption program, which is on our secret server.
All encrypted files are moved to st directory and renamed to unique random name.
To receive your decryption program send $100 USD Bitcoin to address: 
17ynRL2FPW3V7xknUW59vNd7HP5RXJGss9
Contact us after you send the money:
oxo.foxo@yandex.com
Just inform your identification ID and we will give you next instruction.
Your personal identification ID: ***
---
__SINTA I LOVE YOU__

Перевод записки на русский язык:
Все ваши файлы зашифрованы стойким шифром.
Расшифровать ваши файлы можно только с программой дешифрования, которая есть на нашем секретном сервере.
Все зашифрованные файлы перемещаются в каталог *** и переименовываются уникальными случайными именами.
Для получения вашей программы дешифрования отправьте $100 США в биткоинах по адресу:
17ynRL2FPW3V7xknUW59vNd7HP5RXJGss9
Свяжитесь с нами после отправки денег:

oxo.foxo@yandex.com
Просто сообщите свой ID и мы дадим вам следующую инструкцию.
Ваш личный ID: ***
---
__СИНТА Я ЛЮБЛЮ ТЕБЯ__

На обои рабочего стола загружается с сайта wallpaperrs.com следующая картинка.

Распространяется или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Отключает функции восстановления и исправления Windows на этапе загрузки командами:
bcdedit /set {default} recovery enabled No
bcdedit /set {default} bootstatuspolicy ignore allfailuress

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README_FOR_DECRYPT.txt
mood-ravishing-hd-wallpaper-142943312215.jpg
SintaRun.py

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://www.dobrebaseny.pl/***
xxxx://wallpaperrs.com/uploads/girls/thumbs/mood-ravishing-hd-wallpaper-142943312215.jpg***
Email: oxo.foxo@yandex.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 30 октября 2017: 
Пост в Твиттере >>
Записка: README_FOR_DECRYPT.md
Расширение: .sinta
Email: sinpayy@yandex.com
BTC: 1NEdFjQN74ZKszVebFum8KFJNd9oayHFT1
Сумма выкупа: $100 USD

*

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as SintaLocker / October 31, 2017)
 Write-up, Topic of Support
 * 

 Thanks: 
 Karsten Hahn‏ 
 Ido Naor
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.