Rozlok

Rozlok Ransomware

(шифровальщик-вымогатель) (первоисточник)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью  AES-256 (режим СВС) + RSA-2048 для ключа, а затем требует написать на почту, чтобы уплатить выкуп и вернуть файлы. Оригинальное название: не указано. На файле может быть написано: enbild.exe или что попало. 

Обнаружения: 
DrWeb -> Trojan.Encoder.24132
BitDefender -> Generic.Ransom.Pulpy.02C56544
Malwarebytes -> Ransom.ShiOne

© Генеалогия: RSA2048Pro > Pulpy, Rozlok 
Ещё один украинский вымогатель, пытающийся писать по-русски. 

Этимология названия: 
Название взято из логина почты вымогателей. Позже было установлено родство с RSA2018Pro. 

К зашифрованным файлам добавляется расширение .aes

Активность этого крипто-вымогателя пришлась на вторую половину декабря 2017 г. Ориентирован на русскоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: Instruction.txt

Содержание записки о выкупе:
Все ваши файлы и данные зашифрованны.Для дешифровки свяжитесь с нами : rozlok@protonmail.com .Чем дольше мы ждём-тем больше.Вам придёться заплатить.

Перевод записки на НОРМАЛЬНЫЙ русский язык:
Все ваши файлы и данные зашифрованы. Для дешифровки свяжитесь с нами: rozlok@protonmail.com . Чем дольше мы ждём, тем больше Вам придётся заплатить.

Translation into English:

All your files and data are encrypted. For decryption please contact us: rozlok@protonmail.com. The longer we wait, the more you will have to pay.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, заражённых сайтов автомобильной, спортивной и новогодней тематики, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Подробности шифрования:
Соль и есть ключ шифрования. Ключ и IV генерируются через RNG. Каждый файл шифруется своим ключом блоками по 1Мб. Далее записывается соль + ключ в зашифрованном после RSA-2048 виде в формате Base64 + длина. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, фотографии, музыка, видео, файлы образов, архивы, exe-файлы и пр.

Подробности по пропуску файлов и папок см. в статье Pulpe Ransomware.
Всё, по всей видимости, аналогично. 

Файлы, связанные с этим Ransomware:
Instruction.txt
<random>.exe
enbild.exe

Файлы-источники (позже тоже были зашифрованы):
enbild.exe.aes
enbild.exe_pass_123.zip.aes

Расположения:
\Desktop\ -> Instruction.txt
\User_folders\ -> Instruction.txt
\ProgramData\ -> Instruction.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: rozlok@protonmail.com
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware (ID as RSA2048Pro)
 Write-up, Topic of Support + later Topic
 🚫 В 1-й теме помощи ошибочно назван как Vortex. 

 Thanks: 
 Пострадавшим из темы поддержки
 Alex Svirid
 Andrew Ivanov (author)
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private