ArmaLocky

ArmaLocky Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Выдаёт себя за крипто-вымогателя Locky, создает в реестре Run-ключ "locky", добавляет в записку его название и набор символов. На exe-файле написано: MlsoSvc.exe. Для зашифрованных файлов используется маркер "lockyc".

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .armadilo1

Активность этого крипто-вымогателя пришлась на начало сентября 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются:
_Locky_HELP_.html
_ReadMe_.txt

Содержание записки о выкупе:
!!! IMPORTANT INFORMATION !!!
All of your files are encrypted with RSA-4096 and AES-256 ciphers.
More information about the RSA and AES can be found here:
xxxxs://en.wikipedia.org/wiki/RSA_(cryptosystem)
xxxxs://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Decrypting of your files is only possible with the private key and decrypt program, winch is on our secret server.
The sever will destroy the key within 72 hours after encryption completed. After that, nobody and never will be able to restore files.
To receive your private key follow these steps:
1. Download and install Tor Browser: xxxxs://www.torproject.org/download/download-easy.html.en
2. After a successful installation, run the browser and wait for initialization.
3. Type in the address bar: ***
4. Follow the instructions on the site.
!!! Your personal identification ID: !!!
zip password: Lky1234

Перевод записки на русский язык:
!!! ВАЖНАЯ ИНФОРМАЦИЯ !!!
Все ваши файлы зашифрованы шифрами RSA-4096 и AES-256.
Более подробную информацию о RSA и AES можно найти здесь:
xxxxs://en.wikipedia.org/wiki/RSA_(cryptosystem)
xxxxs://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Расшифровка ваших файлов возможна только с помощью закрытого ключа и программы расшифровки, что находится на нашем секретном сервере.
Сервер уничтожит ключ через 72 часа после шифрования. После чего никто и никогда не сможет восстановить файлы.
Чтобы получить свой секретный ключ, выполните следующие действия:
1. Загрузите и установите Tor-браузер: xxxxs://www.torproject.org/download/download-easy.html.en
2. После успешной установки запустите браузер и дождитесь инициализации.
3. Введите в адресную строку: ***
4. Следуйте инструкциям на сайте.
!!! Ваш личный ID: !!!
***

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
MlsoSvc.exe
_Locky_HELP_.html
_ReadMe_.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>  Ещё >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

*

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as ArmaLocky)
 Write-up, Topic of Support
 * 

 Thanks: 
 Karsten Hahn‏, Lawrence Abrams
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.