ExecutionerPlus

ExecutionerPlus Ransomware

CryptoJoker 2017 Plus Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем, возможно, потребует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: CryptoJoker. На файле написано: CryptoJoker.exe.

© Генеалогия: Executioner ⇔ CryptoJoker 2017 > ExecutionerPlus > CryptoNar (CryptoJoker 2018) > CryptoJoker 2019 > CryptoJoker 2020

К зашифрованным файлам добавляются расширения:
.pluss.executioner
.destroy.executioner

Образец этого крипто-вымогателя найден в начале декабря 2017 г. Вероятно, пока находится в разработке или вымогатель просто тешит своё самолюбие. Ориентирован на англоязычных и турецких пользователей, что не мешает распространять его по всему миру.

Запиской без требования выкупа выступает HTML-страница Readme.html с заголовком "HEYKLOG-LOSTHAT".

Содержание записки без выкупа:
HEYKLOG-LOSTHAT
HEYKLOG & CRYPTONIC My Best Friend
Turkish Underground World ~
Guvenlik bir urun degil bir surectir.

Перевод записки на русский язык:
HEYKLOG-LOSTHAT
HEYKLOG & CRYPTONIC Мой лучший друг
Турецкий андеграундный мир ~
Безопасность - это не продукт.

Судя по тексту, вымогатели действительно ещё не созрели, а просто куражатся связями с турецким кибер-подпольем. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
CryptoJoker.exe
Readme.html

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
xxxx://coin-hive.com
xxxx://crimin4lizm.org
xxxx://www.losthatdesign.com/
xxxx://h4lis.com/
xxxxs://www.cryptonic.info/blog/
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

CryptoJoker 2016 Ransomware - январь 2016
Executioner Ransomware - начало июня 2017
CryptoJoker 2017 Ransomware - середина июня 2017
ExecutionerPlus Ransomware - декабрь 2017
CryptoNar (CryptoJoker 2018) Ransomware - август 2018
CryptoJoker 2019 Ransomware - сентябрь 2019
CryptoJoker 2020 Ransomware - ноябрь 2020

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлений не наблюдалось. 

---

=== ДЕШИФРОВЩИК === DECRYPTOR ===

Дешифровщик от Майкла Джиллеспи (Demonslay335):

Поддерживаемые варианты с расширениями: 

.fully.cryptoNar, .partially.cryptoNar, 

.fully.cryptojoker, .partially.cryptojoker, 

.pluss.executioner, .destroy.executioner, .plus.executioner, 

.fully.cryptolocker, .partially.cryptolocker

Инструкции от Майкла >> 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Внимание!
 Файлы можно дешифровать!
 Скачайте CryptoJokerDecrypter по ссылке >>

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as ExecutionerPlus)
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam, Michael Gillespie
 Andrew Ivanov (article author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.