Matroska

Matroska Ransomware

Variants: Encrypted, Happyness, Nefartanulo, Siliconegun

(шифровальщик-вымогатель) (первоисточник)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Matroska. Фальш-имя: Windows Defender. На файле написано: mscauth.exe. 

➤ Есть данные, что специалисты Dr.Web могут дешифровать файлы, зашифрованные некоторыми вариантами этого вымогательства, но только в частном порядке. Публичного дешифратора нет. 

➤ Прямые ссылки есть после статьи в разделе "БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS"

© Генеалогия: HiddenTear >> Matroska

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение .HUSTONWEHAVEAPROBLEM@KEEMAIL.ME
В расширении зашита известная фраза "Houston, we have a problem". 

Активность этого крипто-вымогателя пришлась на середину июля 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: HOW_TO_RECOVER_ENCRYPTED_FILES.txt

Содержание записки о выкупе:
Your files are encrypted!
Your personal ID
***
All your files have been encrypted due to a security problem with your PC.
To restore all your files, you need a decryption.
If you want to restore them, write us to the e-mail HUSTONWEHAVEAPROBLEM@KEEMAIL.ME.
In a letter to send Your personal ID (see in the beginning of this document).
You have to pay for decryption in Bitcoins.
The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
In the letter, you will receive instructions to decrypt your files!
In a response letter you will receive the address of Bitcoin-wallet, which is necessary to perform the transfer of funds.
HURRY! Your personal code for decryption stored with us only 72 HOURS!
Our tech support is available 24 \ 7
Do not delete: Your personal ID
Write on e-mail, we will help you!
Free decryption as guarantee
Before paying you can send to us up to 1 files for free decryption.
Please note that files must not contain valuable information and their total size must be less than 5Mb.
When the transfer is confirmed, you will receive interpreter files to your computer.
After start-interpreter program, all your files will be restored.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders are not compatible with other users of your data, because each user's unique encryption key.

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Ваш личный идентификатор
***
Все ваши файлы были зашифрованы из-за проблемы с безопасностью на вашем ПК.
Чтобы восстановить все ваши файлы, вам необходимо расшифровать.
Если вы хотите их восстановить, напишите нам на email HUSTONWEHAVEAPROBLEM@KEEMAIL.ME.
В письме укажите свой личный идентификатор (см. в начале этого документа).
Вы должны заплатить за расшифровку в биткойнах.
Цена зависит от того, как быстро вы напишете нам.
После оплаты мы отправим вам инструмент дешифрования, который расшифрует все ваши файлы.
В письме вы получите инструкции по расшифровке файлов!
В ответном письме вы получите адрес биткойн-кошелька, который нужен для перевода средств.
ТОРОПИТЕСЬ! Ваш персональный код для дешифрования хранится у нас всего 72 часа!
Наша техническая поддержка доступна 24 \ 7
Не удаляйте: ваш личный идентификатор
Напишите на e-mail, мы поможем вам!
Бесплатное дешифрование в качестве гарантии
Перед оплатой вы можете отправить нам 1 файл для бесплатного дешифрования.
Обратите внимание, что файлы не должны содержать ценную информацию, а их общий размер должен быть меньше 5 МБ.
Когда оплата подтвердится, вы получите файлы интерпретатора на свой компьютер.
После запуска программы-интерпретатора все ваши файлы будут восстановлены.
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровывать свои данные с помощью сторонних программ, это может привести к постоянной потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют плату за нас) или вы можете стать жертвой мошенничества.
Не пытайтесь удалить программу или запустить антивирусные инструменты
Попытки самодешифрования файлов приведут к потере ваших данных
Декодеры для других пользователей не совместимы с вашими данными, т.к. уникальный ключ шифрования у каждого пользователя.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW_TO_RECOVER_ENCRYPTED_FILES.txt
mscauth.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
hustonwehaveaproblem@keemail.me
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 16-18 августа 2017:
Пост в Твиттере >>
Расширение: .encrypted[Payfordecrypt@protonmail.com] 
Записка: zalupka.txt
Зашифрована: zalupka.txt.encrypted[Payfordecrypt@protonmail.com]
Email: paymifordecrypt@protonmail.ch
Результаты анализов: VT
<< Скриншот записки



Вариант от 15 февраля 2018:
Статус: Можно дешифровать. 
Пост в Твиттере >>
Расширение: .happyness
Email: happyness@keemail.me
Записка: HOW_TO_RECOVER_ENCRYPTED_FILES.txt
Содержание записки:
YOUR FILES ARE ENCRYPTED!
Your personal ID
[redacted base64]
All your files have been encrypted due to a security problem with your PC.
To restore all your files, you need a decryption.
If you want to restore them, write us to the e-mail
happyness@keemail.me.
In a letter to send Your personal ID (see In the beginning of this document).
You have to pay for decryption in Bitcoins.
The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
In the letter, you will receive instructions to decrypt your files!
In a response letter you will receive the address of Bitcoin-wallet, which is necessary to perform the transfer of funds.
HURRY! Your personal code for decryption stored with us only 72 HOURS!
Our tech support is available 24 \ 7
Do not delete: Your personal ID
Write on e-mail, we will help you!
Free decryption as guarantee
Before paying you can send to us up to 1 files for free decryption.
Please note that files must NOT contain valuable information and their total size must be less than 5Mb.
When the transfer is confirmed, you will receive interpreter files to your computer.
After start-interpreter program, all your files will be restored.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders are not compatible with other users of your data, because each user's unique encryption key
Результаты анализов: VT


Вариант от 17 ноября 2018:
Статус: Можно дешифровать. 
Пост на форуме >>
Расширение: .happyness
Email: happyness@keemail.me
Записка: HOW_TO_RECOVER_ENCRYPTED_FILES.txt
Записка аналогична предыдущей.

=== 2020 ===

Вариант от 13 августа 2020:
Пост в Твиттере >>
Самоназвание неизвестно. Можно использовать слово Nefartanulo. 
Статус: Можно расшифровать в некоторых случаях. Ссылка >>
Расширение: .nefartanulo@protonmail.com
Email: nefartanulo@protonmail.com
Записка: HOW_TO_RECOVER_ENCRYPTED_FILES.txt
Записка аналогична предыдущей из 2018 года.

Вариант от 6 ноября 2020:

Пост в Твиттере >>

Самоназвание неизвестно. Можно использовать слово Siliconegun. 

Статус: Можно расшифровать в некоторых случаях. 

Расширение: .siliconegun@tutanota.com

Email: siliconegun@tutanota.com

Записка: HOW_TO_RECOVER_ENCRYPTED_FILES.txt

Записка аналогична предыдущей. 

Вариант от 15 февраля 2021:

Email: siliconegun@tutanota.com

Telegram: xxxxs://t.me/yourDatasellers

Записка: HOW_TO_RECOVER_ENCRYPTED_FILES.txt

➤ Содержание записки:

YOUR FILES ARE ENCRYPTED!

Your personal ID

KdwJvpSH7svw156wt0xCnqlv8Q1lO8beK3GH8cKEW4CobH2Tbnkc8cSnAlUmS56Z3PoSRGsnoygp3Am+lIfuy/DXnrC3TEKeqW/xDWU7xt4c788ce*****==

All your files have been encrypted due to a security problem with your PC.

To restore all your files, you need a decryption.

Write us:

e-mail siliconegun@tutanota.com

or Telegram: https://t.me/yourDatasellers  

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

OTHERWISE YOUR PERSONAL DATA, DOCUMENTS AND DATABASES 

WILL BE PUBLISHED IN OPEN DATA SOURCES AND SENT TO YOUR PARTNERS

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

В некоторых случаях файлы можно дешифровать!
Составьте запрос в Dr.Web на пробную дешифровку: 
- на русском языке
- на английском языке
Если дешифровка возможна, то вам сообщат подробности. 
➽ Или напишите Emmanuel_ADC-Soft на форум или в Твиттер. 

 Read to links: 
 Tweet on Twitter
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam, Michael Gillespie
 S!Ri, Emmanuel_ADC-Soft, Alex Svirid
 Andrew Ivanov (author)
 

© Amigo-A (Andrew Ivanov): All blog articles.