Instalador, QwertyCrypt

Instalador Ransomware

QwertyCrypt Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0.05 BTC, чтобы вернуть файлы. Оригинальное название: Instalador. Название проекта: Instalador.pdb. На файле написано: Instalador.exe. Разработчик: Rodolfo / Team Anonymous Brazil.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: HiddenTear >> Instalador (QwertyCrypt)

К зашифрованным файлам добавляется расширение .qwerty

Активность этого крипто-вымогателя пришлась на вторую половину января 2018 г. Ориентирован на португалооязычных и бразильских пользователей, что не мешает распространять его по всему миру. Вероятно, пока находится в разработке. 

Запиской с требованием выкупа выступает экран блокировки с заголовком Aguarde..., которому предшествует экран с просьбой подождать. В это время файлы шифруются. 

Содержание записки о выкупе:
ATENÇÃO! Todos os seus arquivos foram seqüestrados!
O que aconteceu com o meu computador?
Seu computador sofreu um seqüestro de dados, os seus arquivos importantes (documentos, planilhas, videos. anotações e etc), estão agora protegido com uma criptografia altamente complexa e segura.
Você não poderá mais acessar os seus arquivos!
Como faço para desbloquear?
Você deverá pagar a quantia de 0.05000000 Bitcoin para o endereço 15tGsTDLMztrxP1kCoKPBTaBgv1xCKRtkY
Depois de pago iremos enviar a sua senha e você poderá desbloquear rapidamente seus arquivos!
Como entrar em contato?
Através do nosso telegram iremos enviar a senha do seu computador!
Telegram: http://t.me/@rodolfoanubis
Muito obrigado aguardamos o contato!

Перевод записки на русский язык:
ВНИМАНИЕ! Все ваши файлы были захвачены!
Что случилось с моим компьютером?
Ваш компьютер взломан, ваши важные файлы (документы, таблицы, видео, заметки и т.д.), теперь защищены очень сложным и безопасным шифрованием.
Вы больше не сможете получить доступ к своим файлам!
Как разблокировать?
Вы должны заплатить сумму в 0.05000000 биткоина на адресу 15tGsTDLMztrxP1kCoKPBTaBgv1xCKRtkY
После оплаты мы пришлём ваш пароль, и вы сможете быстро разблокировать свои файлы!
Как связаться?
Через наш Telegram мы отправим пароль вашего компьютера!
Telegram: http://t.me/@rodolfoanubis
Большое спасибо за контакт!

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Instalador.exe

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Telegram: http://t.me/@rodolfoanubis
BTC: 15tGsTDLMztrxP1kCoKPBTaBgv1xCKRtkY
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Для зашифрованных файлов есть декриптер
Скачать Hidden Tear Decrypter для дешифровки >>

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware (ID as QwertyCrypt)
 Write-up, Topic of Support
 🎥 Video review

 Thanks: 
 Leo, GrujaRS
 GrujaRS
 Michael Gillespie
 Andrew Ivanov
* 

© Amigo-A (Andrew Ivanov): All blog articles.