четверг, 20 июля 2017 г.

Matroska

Matroska Ransomware

(шифровальщик-вымогатель)


Этот крипто-вымогатель шифрует данные пользователей, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Matroska. Фальш-имя: Windows Defender. На файле написано: mscauth.exe. 
шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: HiddenTear >> Matroska

К зашифрованным файлам добавляется расширение .HUSTONWEHAVEAPROBLEM@KEEMAIL.ME
В расширении зашита известная фраза "Houston, we have a problem". 

Активность этого крипто-вымогателя пришлась на середину июля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: HOW_TO_RECOVER_ENCRYPTED_FILES.txt

Содержание записки о выкупе:
Your files are encrypted!
Your personal ID
***
All your files have been encrypted due to a security problem with your PC.
To restore all your files, you need a decryption.
If you want to restore them, write us to the e-mail HUSTONWEHAVEAPROBLEM@KEEMAIL.ME.
In a letter to send Your personal ID (see in the beginning of this document).
You have to pay for decryption in Bitcoins.
The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
In the letter, you will receive instructions to decrypt your files!
In a response letter you will receive the address of Bitcoin-wallet, which is necessary to perform the transfer of funds.
HURRY! Your personal code for decryption stored with us only 72 HOURS!
Our tech support is available 24 \ 7
Do not delete: Your personal ID
Write on e-mail, we will help you!
Free decryption as guarantee
Before paying you can send to us up to 1 files for free decryption.
Please note that files must not contain valuable information and their total size must be less than 5Mb.
When the transfer is confirmed, you will receive interpreter files to your computer.
After start-interpreter program, all your files will be restored.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders are not compatible with other users of your data, because each user's unique encryption key.

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Ваш личный идентификатор
***
Все ваши файлы были зашифрованы из-за проблемы с безопасностью на вашем ПК.
Чтобы восстановить все ваши файлы, вам необходимо расшифровать.
Если вы хотите их восстановить, напишите нам на email HUSTONWEHAVEAPROBLEM@KEEMAIL.ME.
В письме укажите свой личный идентификатор (см. в начале этого документа).
Вы должны заплатить за расшифровку в биткойнах.
Цена зависит от того, как быстро вы напишете нам.
После оплаты мы отправим вам инструмент дешифрования, который расшифрует все ваши файлы.
В письме вы получите инструкции по расшифровке файлов!
В ответном письме вы получите адрес биткойн-кошелька, который нужен для перевода средств.
ТОРОПИТЕСЬ! Ваш персональный код для дешифрования хранится у нас всего 72 часа!
Наша техническая поддержка доступна 24 \ 7
Не удаляйте: ваш личный идентификатор
Напишите на e-mail, мы поможем вам!
Бесплатное дешифрование в качестве гарантии
Перед оплатой вы можете отправить нам 1 файл для бесплатного дешифрования.
Обратите внимание, что файлы не должны содержать ценную информацию, а их общий размер должен быть меньше 5 МБ.
Когда оплата подтвердится, вы получите файлы интерпретатора на свой компьютер.
После запуска программы-интерпретатора все ваши файлы будут восстановлены.
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровывать свои данные с помощью сторонних программ, это может привести к постоянной потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют плату за нас) или вы можете стать жертвой мошенничества.
Не пытайтесь удалить программу или запустить антивирусные инструменты
Попытки самодешифрования файлов приведут к потере ваших данных
Декодеры для других пользователей не совместимы с вашими данными, т.к. уникальный ключ шифрования у каждого пользователя.




Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW_TO_RECOVER_ENCRYPTED_FILES.txt
mscauth.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
hustonwehaveaproblem@keemail.me
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

Обновление от 16-18 августа 2017:
Пост в Твиттере >>
Расширение: .encrypted[Payfordecrypt@protonmail.com] 
Записка: zalupka.txt
Зашифрована: zalupka.txt.encrypted[Payfordecrypt@protonmail.com]
Email: paymifordecrypt@protonmail.ch
Результаты анализов: VT
<< Скриншот записки



 Read to links: 
 Tweet on Twitter
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 
 Thanks: 
 MalwareHunterTeam 
 Michael Gillespie
 S!Ri
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

ВНИМАНИЕ!
1) Ваши комментарии после статьи появятся только после проверки. Дублировать их не нужно.
2) В своём сообщение в форме обратной связи обязательно укажите название шифровальщика.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Ваши комментарии к статье появятся только после проверки службой модерации.
Дублировать их не нужно. Если это не спам, то они вскоре будут опубликованы.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *