Noblis

Noblis Ransomware

Variants: Cyclone, SystemCrypter, Sorryforthis, Shinya, Nebula, Crypter

(шифровальщик-вымогатель, шифровальщик-обучатель) (первоисточник)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в 1.0 BTC, чтобы вернуть файлы. Оригинальное название: CRYPTER (указано в окне программы). Написан на Python. Утверждается, что разработан для академических и исследовательских целей. Создается при помощи Ransomware-генератора.

Обнаружения: 
DrWeb -> Trojan.Encoder.23889, Python.Encoder.1

ALYac -> Trojan.Ransom.Noblis
BitDefender -> Trojan.Ransom.PyCrypter.A
ESET-NOD32 -> Python/Filecoder.AC

Microsoft -> Ransom:Win32/Rabolis

Trend -> MicroRansom_NOBLIS.A

© Генеалогия: Ransomware Builder >> Noblis, Cyclone > SystemCrypter

К зашифрованным файлам добавляется расширение .noblis или .anyrun
Или любое другое, которое будет задано в Ransomware-генераторе. 

Образец этого крипто-вымогателя найден в начале декабря 2017 г. Ориентирован на испаноязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Содержание записки о выкупе:
CRYPTER
YOUR FILES HAVE BEEN ENCRYPTED!
Los archivos más importantes de este equipo han sido cifrados con un sistema de grado militar (AES-256)
Sus documentos, videos, imágenes y otros formatos (y por supuesto la FLAG) están fuera de su alcance... Y no podrá descifrarlos sin la llave apropiada... Esta se encuentra almacenada en un servidor remoto.
Las únicas formas de obtenerla, será pagando a la billetera antes que el tiempo se acabe.. También puede vulnerar el servidor remoto¿?...
O encontrar alguna falla en este sistema de cifrado¿?...
--- Recuerde que este reto es únicamente con fines académicos e investigativos... No pierda tiempo... Pues una vez termine la cuenta regresiva, los archivos serán eliminados de forma permanente ---
@4v4t4r
WALLET ADDRESS: nobliswallet99838399283928392323
BITCOIN FEE: 1.0

Перевод записки на русский язык:
CRYPTER
ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!
Важные файлы этого компьютера зашифрованы шифрованием военного класса (AES-256)
Ваши документы, видео, изображения и другие форматы (и, конечно же, FLAG) недоступны ... И вы не сможете расшифровать их без правильного ключа ... Он находится на удаленном сервере.
Единственный способ получить его - заплатить на кошелек до истечения времени. Может ли он также нарушить удаленный сервер? ...
Можно ли найти недостатки в этой системе шифрования? ...
--- Помните, что этот выкуп предназначен только для академических и исследовательских целей ... Не тратьте время ... Ну, как только обратный отсчет закончится, файлы будут окончательно удалены ---
@4v4t4r
АДРЕС КОШЕЛЬКА: nobliswallet99838399283928392323
БИТКОИН ПЛАТА: 1.0

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
.doc, .docx, .jpg, .mp3, .msi, .pdf, .tar.gz, .tsx, .txt, .zip (10 расширений). 
Это документы Word, PDF, текстовые файлы, фотографии, музыка, архивы и пр.

Файлы, связанные с этим Ransomware:
nobles.exe
encrypted_files.txt
key.txt
и другие файлы

 

Процесс извлечения вымогателем python-файлов

Содержимое файла encrypted_files.txt

Расположения:
\Temp\nobles.exe
\Temp\<python_unpacked_files>
\AppData\Roaming\encrypted_files.txt
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
BTC-test: nobliswallet99838399283928392323
См. ниже результаты анализов.

Результаты анализов:
Any.Run анализ и обзор (12 Dec) >>
Any.Run анализ и обзор (13 Dec) >>
VirusTotal анализ >>
Гибридный анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Noblis Ransomware - 12 декабря 2017 
Cyclone Ransomware - 15 декабря 2017

Обновление от 30 октября 2019:
Сообщение >>
Расширение: .sorryforthis
BTC: 12mdKVNfAhLbRDLtRWQFhQgydgU6bUMjay
Сумма выкупа: 0.08134
Результаты анализов: VT

=== 2020 ===

Вариант от 20 февраля 2020:

Сообщение >>

Самоназвание: MS ATP Demo

Расширение: .ransom

Файл изображения: C:\Users\User\AppData\Local\Temp\_MEI30402\lock.bmp

Добавление в реестре: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Crypter

Результаты анализов: VT + IA

Обновление от 6 апреля 2020:
Сообщение >>
Видеообзор >>
Самоназвание: Black orchid Team
Расширение: .shinya
Telegram: @shinya_dono
http://t.me/lucifer_ayr47
http://t.me/HeadNaughty
Результаты анализов: VT + VMR

Обновление от 12 апреля 2020:
Сообщение >>
Расширение: .nebula
Email: resolutionransomware@protonmail.com
Telegram: @Jorkey
Другие файлы: key.txt
Результаты анализов: VT + AR

➤ Содержание текста в окне экрана (часть текста):
[+]RUS
===========================
Привет! Ваши важные файлы были зашифрованы!
Единственный способ расшифровать ваши файлы - это получить закрытый ключ и программу расшифровки.
Не трать зря свое время. Никто не может восстановить их без нашей службы дешифровки.
Оплата должна быть произведена в биткоинах с использованием уникального кода, который мы сгенерировали для вас!
Все попытки расшифровать информацию самостоятельно приведут лишь к безвозвратной потере ваших данных.
Отправьте этот код по email или telegram: 1А191***
Связаться с нами:
Email: resolutionransomware@protonmail.com
Telegram: @Jorkey
===========================
[+]ENG|
***

Обновление от 26 августа 2020:
Сообщение >>
Расширение: .locked
BTC:12mdKVNfAhLbRDLtRWQFhQgydgU6bUMjay
Результаты анализов: VT + VMR

 

Обновление от 18 декабря 2020:

Топик на форуме >>

Самоназвание: ORACLE LOCK

Расширение: .oraclelock

Email: masteroracle4life@protonmail.com

BTC: 1H4vXYFdFjG7tFYhYjxjX2bxqbBGYDAFQa

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as Noblis)
 Write-up, Topic of Support
 * 

 Thanks: 
 Any.Run, Andrew Ivanov (author)
 Michael Gillespie
 и другим, кто добавляет новые варианты
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private