Onion3Cry

Onion3Cry Ransomware
Onion3Crypt Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп за декриптер, чтобы вернуть файлы. Оригинальное название точно не указано. В заголовке экрана блокировки написано: onion3 crypt v.3.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: HiddenTear >> Onion3Cry

К зашифрованным файлам добавляется расширение .onion3cry-open-DECRYPTMYFILES

Активность этого крипто-вымогателя пришлась на первую половину сентября 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Содержание записки о выкупе:
ALL YOUR WORK AND PERSONAL FILES HAVE BEEN ENCRYPTED
Our credibility at stake
To decrypt your files you need to buy the special software - «Black decryptor»
You can find out the details / buy decryptor + key / ask questions by email: onion33544@india.com
How to use bitcoin xxxxs://www.youtube.com/watch?v=Xz3UaCk577l
Unable to decode data without correct decoder ID - 388854
To recover yor data.
[contact in up
12:00:00]

Перевод записки на русский язык:
ВСЕ ВАША РАБОТА И ЛИЧНЫЕ ФАЙЛЫ БЫЛИ ЗАШИФРОВАНЫ
Ставка на наше доверие
Чтобы расшифровать ваши файлы, вам нужно купить специальную программу - «Black decryptor»
Вы можете узнать подробности / купить дешифратор + ключ / задавать вопросы по email: onion33544@india.com
Как использовать биткоин xxxxs://www.youtube.com/watch?v=Xz3UaCk577l
Невозможно декодировать данные без правильного ID декодера - 388854
Чтобы восстановить ваши данные.
[контакт в
12:00:00]

Ещё один экран имитируют загрузку обновлений. На португальском. 

Содержание текста на экране:
Obtendo atualizações
isso pode levar alguns minutos
Verificando se há atualizações.......
[Avançar]

Перевод на русский:
Получение обновлений
Это может занять несколько минут.
Проверка обновлений ...
[Далее]

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>.exe
<Black decryptor>

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
onion33544@india.com
xxxxs://www.youtube.com/watch?v=Xz3UaCk577l
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ (original package) >>
VirusTotal анализ (encrypter) >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

*

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam‏ 
 Lawrence Abrams
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.