Trojan-Syria

Trojan-Syria Ransomware

Wana Decrypt0r Trojan-Syria Editi0n

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название: Wana Decrypt0r Trojan-Syria Editi0n.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: Hidden Tear >> Trojan-Syria

Имеет функционал для шифрования (код из Hidden Tear), но на момент написания статьи ещё не шифровал файлы. После шифрования к файлам должно было добавляться расширение: .Wana Decrypt0r Trojan-Syria Editi0n

Первый образец этого крипто-вымогателя был найдет в середине июня 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Новый образец был презентован 18 июня. Он уже шифрует файлы и добавляет к зашифрованным файлам расширение .wannacry

Запиской с требованием выкупа выступает экран блокировки:

Содержание записки о выкупе:
Ooops, Your Files Have Been Encrypted !!!
What Happened To My Computer?
your important files are encrypted.
many of your documents, photos, videos, and other files are no longer
accessible because they have been encrypted, maybe you are busy looking
way to recover your files, but do not waste your time, nobody can recover
your files without our decryption service.
Can I Recover My Files?
sure we guarantee that you can recover all your files safely and easily.
but you have not so enough time.
if you need to decrypt your files, yo need to pay.
you only have 3 days to submit the payment.
after that the price will be doubled or your files and computer will be destroyed
How Do I Pay?
payment is accepted in bitcoin only, for more information, click <About Bitcoin>
check the current price of bitcoin and buy some bitcoin. for more information,
click <HowTo Buy Bitcoin>
and send correct amount to the address below
after your payment, click <Check Payment> to to decrypt your files.
Send $50 Worth In Bitcoin To This Address
[BTC] button [Copy]
button [Check Payment]

Перевод записки на русский язык:
Упс, ваши файлы зашифрованы !!!
Что случилось с моим компьютером?
Ваши важные файлы зашифрованы.
Многие из ваших документов, фото, видео и других файлов больше не являются, потому что они зашифрованы, может быть, вы заняты поиском способа восстановления ваших файлов, но не тратьте впустую свое время, никто не сможет восстановить ваши файлы без нашей службы расшифровки.
Могу ли я восстановить мои файлы?
Мы гарантируем, что вы сможете восстановить все ваши файлы безопасно и легко.
Но у вас недостаточно времени.
Если вам нужно расшифровать ваши файлы, вам нужно заплатить.
У вас есть только 3 дня, чтобы отправить платеж.
После этого цена будет удвоена или ваши файлы и компьютер будут уничтожены.
Как мне оплатить?
Оплата принимается только в биткоинах, для получения информации нажмите <О биткоинах>
Проверьте текущую цену биткоина и купите биткоины. Чтобы получить больше информации,
нажмите ссылку <HowTo Buy Bitcoin> и отправьте правильную сумму по указанному ниже адресу.
После оплаты нажмите кнопку <Check Payment>, чтобы расшифровать ваши файлы.
Отправьте $50 в биткоинах в этот адрес
[BTC] кнопка [Copy]
кнопка [Check Payment]

Распространяется путём взлома через незащищенную конфигурацию RDP или может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
.asp, .aspx, .bmp, .csv, .doc, .docx, .exe, .flv, .gif, .html, .jpeg, .jpg, .mdb, .mp3, .mp4, .pdf, .php, .png, .ppt, .pptx, .psd, .rar, .rtf, .sln, .txt, .xls, .xlsx, .xml, .zip (29 расширений).
Это документы MS Office, PDF, текстовые файлы, веб-файлы, файлы изображений, файлы проектов, музыка, видео, архивы и пр.

Файлы, связанные с этим Ransomware:
Wana Decrypt0r Trojan-Syria Editi0n.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ 1st sample >>
VirusTotal анализ 2st sample >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 11 февраля 2018:
Пост в Твиттере >>
🎥 Видеоролик >>
Файл: Wana Decrypt0r New Editi0n1.exe
Название файла: Wana Decrypt0r Trojan-Syria Editi0n
Сумма выкупа: $250
BTC: 1NZopt9YGRuCP6XDDVSE4g468Jv3XEmWBH
Файл на обои: %APPDATA%\img.jpg
Результаты анализов: HA + VT

Экран блокировки, изображение на обои и значок файла на рабочем столе

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 🎥 Video review

 - видеообзор от CyberSecurity GrujaRS

 Thanks: 
 MalwareHunterTeam
 Karsten Hahn
 GrujaRS
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.