Pendor

Pendor Ransomware

(шифровальщик-вымогатель) 

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название: Pendor. Статус: Файлы можно дешифровать!

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .pnr

Активность этого крипто-вымогателя пришлась на начало сентября 2017 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Коме того, некоторые платежные инструкции предназначены на пользователей Рунета. 

Записка с требованием выкупа называется: READ_THIS_FILE_1.TXT

Содержание записки о выкупе:
If YOU SEE THIS TEXT, THEN YOUR FILES ARE ECNRYPTED!
===
Nobody can recover your files without our decryption service.
We guarantee that you can recover all your files.
All you need to do is submit the payment and purchase the decryption key.
Please follow the instruction:
1. Send $50 worth of Bitcoin to following address:
1KBLAXQJQida4NM4AMkZNc6h42ddASLpaj
2. Send your PERSONAL ID and Bitcoin address: 
-- 1. To our TOR decryption service: xxxx://pendor4cys5ofnxh.onion/
-- 2. To e-mail: pendor@tuta.io

Detailed instructions:
===
I. Registration bitcoin purse
-- 1. Follow this link: xxxxs://blockchain.info/wallet/#/signup
-- 2. Sign up for an account.
-- 3. Copy a recieve address to your clipboard.    
II. Replenishment of the bitcoin account
* Webmoney instructions:
-- xxxxs://wmeng.exchanger.ru/asp/wmlist.asp?exchtype=34
-- xxxxs://wmx.wmtransfer.com/Home/Withdraw
* Qiwi instructions:
-- xxxxs://www.bestchange.ru/qiwi-to-bitcoin.html
-- xxxxs://ww-pay.com/qwrub-to-btc    
* Paypal instructions:
-- xxxxs://99bitcoins.com/buying-bitcoins-with-paypal-a-practical-guide/
-- xxxxs://paxful.com/buy-bitcoin/paypal     
* Visa instruction:
-- xxxxs://www.bestchange.ru/visa-mastercard-usd-to-bitcoin.html  
* Also, you can read this recomendations:
-- xxxxs://www.bitcoin.com/getting-started         
III. Send bitcoin ($50) to our address: 1KBLAXQJQida4NM4AMkZNc6h42ddASLpaj       
IV. Getting decryption key:
-- 1. Go to:  xxxxs://www.torproject.org/download/download-easy.html.en
-- 2. Click "DOWNLOAD" button.
-- 3. Download and install Tor Browser.
-- 4. Open Tor Browser and follow this link: xxxx://pendor4cys5ofnxh.onion
-- 5. Enter your Bitcoin address and your PERSONAL ID.
-- 6. Press "CHECK" button.

ALTERNATIVE TOR DECRYPTION SERVICES:
===
If our main TOR decryption service doesn`t work, you can use this once:   
* xxxx://pendor4cys5ofnxh.onion/
* xxxx://pendorh4pamngr6t.onion/
* xxxx://pendorqpdauhcmzp.onion/
* xxxx://pendoru632ry2xiu.onion/
Alternative e-mails:
* pendor@tuta.io
* pendor_1@tutanota.com
YOUR PERSONAL ID: ***
YOUR PERSONAL ID: ***
YOUR PERSONAL ID: ***
YOUR PERSONAL ID: ***
YOUR PERSONAL ID: ***
YOUR PERSONAL ID: ***
YOUR PERSONAL ID: ***

Перевод записки на русский язык:
Если ВЫ ВИДИТЕ ЭТОТ ТЕКСТ, ТО ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!
===
Никто не может восстановить ваши файлы без нашей службы расшифровки.
Мы гарантируем, что вы сможете восстановить все ваши файлы.
Все, что вам нужно сделать, это сделать платеж и купить ключ дешифрования.
Следуйте инструкциям:
1. Отправьте биткоины на 50 долларов США на следующий адрес:
1KBLAXQJQida4NM4AMkZNc6h42ddASLpaj
2. Отправьте свой ЛИЧНЫЙ ID и биткоин-адрес:
-- 1. На наш сервис дешифрования в TOR: xxxx://pendor4cys5ofnxh.onion/
-- 2. На email: pendor@tuta.io

Подробные инструкции:
===
I. Регистрационный биткоин-кошелек
-- 1. Перейдите по этой ссылке: xxxxs://blockchain.info/wallet/#/signup
2. Зарегистрируйте учетную запись.
3. Скопируйте полученный адрес в буфер обмена.
II. Пополните счета биткоин-кошелька
* Инструкции для Webmoney:
-- xxxxs://wmeng.exchanger.ru/asp/wmlist.asp?exchtype=34
-- xxxxs://wmx.wmtransfer.com/Home/Withdraw
* Инструкции для Qiwi:
-- xxxxs://www.bestchange.ru/qiwi-to-bitcoin.html
-- xxxxs://ww-pay.com/qwrub-to-btc
* Инструкции для Paypal:
-- xxxxs://99bitcoins.com/buying-bitcoins-with-paypal-a-practical-guide/
-- xxxxs://paxful.com/buy-bitcoin/paypal
* Инструкция для Visa:
-- xxxxs://www.bestchange.ru/visa-mastercard-usd-to-bitcoin.html
* Также вы можете прочитать эти рекомендации:
-- xxxxs://www.bitcoin.com/getting-started
III. Отправьте биткоины ($50) на наш адрес: 1KBLAXQJQida4NM4AMkZNc6h42ddASLpaj
IV. Получите ключ дешифрования:
-- 1. Перейдите по адресу: xxxxs://www.torproject.org/download/download-easy.html.en
2. Нажмите кнопку "DOWNLOAD".
3. Загрузите и установите Tor Browser.
4. Откройте браузер Tor и перейдите по этой ссылке: xxxx://pendor4cys5ofnxh.onion
5. Введите свой биткоин-адрес и свой ЛИЧНЫЙ ID.
6. Нажмите кнопку "CHECK".

АЛЬТЕРНАТИВНЫЙ TOR СЕРВИС ДЕШИФРОВАНИЯ:
===
Если наша основная служба дешифрования TOR не работает, вы можете использовать ещё одну:
* xxxx://pendor4cys5ofnxh.onion/
* xxxx://pendorh4pamngr6t.onion/
* xxxx://pendorqpdauhcmzp.onion/
* xxxx://pendoru632ry2xiu.onion/
Альтернативные email:
* pendor@tuta.io
* pendor_1@tutanota.com
ВАШ ЛИЧНЫЙ ID: ***


Другие информаторы жертвы:

Скриншоты экрана блокировки

Скриншот Tor-сайт вымогателей

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Зашифрованные файлы получают иконку, сбрасываемую крипто-вымогателем, потому могут выглядеть так:

Файлы, связанные с этим Ransomware:
READ_THIS_FILE_1.TXT
READ_THIS_FILE_2.TXT
instruction.txt
pendor.exe
scvhsot.exe
error.ico
CMD decrypter

Расположения:
C:\C:\instruction.txt
\Desktop\READ_THIS_FILE_1.TXT
\Desktop\READ_THIS_FILE_2.TXT
\Desktop\pendor.exe
\Desktop\error.ico
\Desktop\pendor_key.pnr
\Desktop\scvhsot.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://pendor4cys5ofnxh.onion/
xxxx://pendorh4pamngr6t.onion/
xxxx://pendorqpdauhcmzp.onion/
xxxx://pendoru632ry2xiu.onion/

Email: pendor@tuta.io
pendor_1@tutanota.com
pendor111@tutanota.com
BTC: 1KBLAXQJQida4NM4AMkZNc6h42ddASLpaj
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Статус: Дешифруется!

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Зашифрованные файлы можно дешифровать
Для дешифрования свяжитесь
с Майклом Джиллеспи по этой ссылке >>

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as Pendor)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.