DilmaLocker

DilmaLocker Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Dilma Locker. Фальш-имя: Adobe Acrobat Reader DC. На файле написано: AdobeRd32.exe.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .__dilmaV1

★ Для справки:
На фото экрана блокировки Дилма Русеф, экс-президент Бразилии. 

Активность этого крипто-вымогателя пришлась на начало сентября 2017 г. Ориентирован на бразильских полтугалоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Скриншот экрана DilmaLocker

Содержание текста с экрана:
Oops, todos os seus arquivos foram criptografados!!!
Seus documentos: fotos, vídeos, bancos de dados e outros arquivos importantes foram criptografados utilizando o algoritmo AES de 256 bits (mesma criptografia utilizada pelo governo americano para proteger segredos de estado), ou seja, é impossível recuperar seus arquivos sem a senha correta!
Caso haja interesse em obter essa senha e recuperar seus arquivos, recomendamos que entre em contato e siga as instruções!
Em 4 dias seus arquivos serão DELETADOS!
Leia o arquivo 'RECUPERE_SEUS_ARQUIVOS.html' que foi criado em sua área de trabalho.
Contato: dilmaonion@keemail.me

Перевод текста на русский язык:
К сожалению, все ваши файлы были зашифрованы !!!
Ваши документы: фото, видео, базы данных и другие важные файлы были зашифрованы с использованием алгоритма AES-256 (такое шифрование используется правительством США для защиты государственных секретов), т.е. невозможно восстановить файлы без правильного пароля!
Если вы заинтересованы в получении этого пароля и восстановлении файлов, мы рекомендуем вам связаться с нами и следовать инструкциям!
Через 4 дня ваши файлы будут удалены!
Прочтите файл RECUPERE_SEUS_ARQUIVOS.html, который был создан на вашем рабочем столе.
Контакт: dilmaonion@keemail.me

Текстовая записка с требованием выкупа называется: RECUPERE_SEUS_ARQUIVOS.html

Примечательно, что шифровальщик ещё сообщает о зашифрованных файлах в диалогом окне, где в заголовке указано его "имя" по классификации вирусов "Лабораторией Касперского". Очень похоже, во всяком случае. 

Надпись в диалоговом окне:
Seus arquivos foram criptografados

Перевод на русский: 
Ваши файлы были зашифрованы

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений (PDF.EXE), обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Alex-Barbosa--curriculo-vitae--2017.rar
Alex-Barbosa--curriculo-vitae-2017.pdf.exe
AdobeRd32.exe
RECUPERE_SEUS_ARQUIVOS.html
dilminha.dat

Расположения:
\Desktop\RECUPERE_SEUS_ARQUIVOS.html

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
dilmaonion@keemail.me
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

*

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as DilmaLocker)
 Write-up, Topic of Support
 * 

 Thanks: 
 xXToffeeXx
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.