AllCry

AllCry Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 1 BTC, чтобы вернуть файлы. Оригинальное название: Allcry Ransomeware (написано в заголовке экрана блокировки). На файле написано: allcry_upx.exe.

шифровальщик вирус-шифровальщик троян-шифровальщик крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder key ransom decrypt decryption recovery remove restore decode files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .allcry

Активность этого крипто-вымогателя пришлась на вторую половину октября 2017 г. Ориентирован на англоязычных и китайских пользователей, что не мешает распространять его по всему миру. Много жертв из Китая и Кореи. 

Записка о выкупе называется: ReadMe.dic

Содержание записки о выкупе:
Some files have been encrypted
Please send 1 bit coins to my wallet address
If you paid, send the machine code to my email
I will give you program to decryper
If there is no payment within seven days, 
we will no longer support decryption

部分文件已经被加密
请发送1个比特币到我的钱包
付款之后, 把你的硬件ID发送到我的邮件
我们将回复给你解密程序
如果在七天内没有支付,我们将不再支持解密
Btc wallet :1BSJXEPpBybtXZiXNh9xDBdJdNYdvnzXru
Email:allcrys@naij.com

Перевод записки на русский язык:
Некоторые файлы были зашифрованы
Пожалуйста, отправьте 1 биткоин на мой кошелек
Если вы заплатили, пришлите код машины на мой email-адрес
Я дам вам программу декриптер
Если в течение семи дней нет оплаты,
мы не будем поддерживать расшифровку
BTC-кошелек: 1BSJXEPpBybtXZiXNh9xDBdJdNYdvnzXru
Email:allcrys@naij.com

Запиской с требованием выкупа также выступает экран блокировки:

Содержание текста о выкупе:
Sorry But You Have Been Hacked
Send 1 bitcoin for key
Bitcoin [1BSJXEPpBybtXZiXNh9xDBdJdNYdvnzXru]
Mail [allcrys@naij.com]
HardWareld
Key
[Decrypt]  [Cancel]

Перевод текста на русский язык:
Извините, но вы были взломаны
Отправьте 1 биткоин за ключ
Bitcoin [1BSJXEPpBybtXZiXNh9xDBdJdNYdvnzXru]
Mail [allcrys@naij.com]
HardWareld
Key
[Decrypt]  [Cancel]

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
allcry_upx.exe
winsrv.exe
ReadMe.dic
\ransom_test\

Расположения:
\ransom_test\

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: allcrys@naij.com
BTC: 1BSJXEPpBybtXZiXNh9xDBdJdNYdvnzXru
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>  VT+
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as Allcry)
 Write-up, Topic of Support
 * 

 Thanks: 
 Karsten Hahn
 Michael Gillespie
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.