Nulltica

Nulltica Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название: Nulltica. На файле написано: TLauncher и Important.exe.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: HiddenTear >> Nulltica

К зашифрованным файлам добавляется расширение .lock
К дешифрованным файлам декриптер добавляет расширение .unlock
Таким образом, вместо оригинального имени файла будет что-то типа filename.jpg.lock.unlock

Активность этого крипто-вымогателя пришлась на начало сентября 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Содержание записки о выкупе:
Your files have been blocked
Your files is encrypted (AES 256). You need a individual key to unlock your files.
Instruction how to unlock:
1. Create bitcoin wallet (coinbase, bitpay or any else)
2. Pay 50 usd to this wallet (bank card, transfer)
3. Send 50 usd (if you don't know how many usd = btc - calculate with this website http://www.coindesk.com/calculator/ - for now 50 usd = 0.02 BTC
4. Okay, now get your wallet address and put in on the left side, below "If you already paid"
5. Click "unlock and remove the program"
6. That's it.
Warning: If you already paid and you have information "We don't have your payment yet", you must waiting.. (Usually max. 12h)
---
Unlock
Pay 50 usd to this BTC address
1MEnyVaoE5Wjzqedv74q1LB83ekULgMDK
If you already paid
Enter the bitcoin address which you sent
Unlock and remove the program

Перевод записки на русский язык:
Ваши файлы блокированы
Ваши файлы зашифрованы (AES 256). Вам нужен отдельный ключ, чтобы разблокировать ваши файлы.
Инструкции по разблокировке:
1. Создайте биткойн-кошелек (coinbase, bitpay или любой другой)
2. Заплатите 50 долларов за этот кошелек (банковскую карту, перевод)
3. Отправте 50 долларов (если вы не знаете, как usd = btc - вычислите с помощью этого сайта http://www.coindesk.com/calculator/ - на данный момент 50 $ = 0.02 BTC
4. Хорошо, теперь получите адрес кошелька и введите его в левой стороне, ниже долларов ,
5. Нажмите "unlock and remove the program"
6. Вот и все.
Предупреждение: если вы уже заплатили, и у вас есть информация "We don't have your payment yet", вы должны подождать .. (Обычно максимум 12 часов)
---
Разблокировка
Оплатите 50 долларов на этот адрес BTC
1MEnyVaoE5Wjzqedv74q1LB83ekULgMDK
Если вы уже заплатили
Введите биткойн-адрес, с которого вы отправили
Разблокировать и удалить программу

Технические детали

Вероятно, использует Facebook (ссылки, аккаунт) для своего распространения или передачи. Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
log.txt
Important.exe

Расположения:
***

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

*

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 Karsten Hahn
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.