MoneroPay, SpriteCoin

MoneroPay Ransomware
SpriteCoin Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью Salsa20, а затем требует выкуп в 0.3 Monero, чтобы вернуть файлы. Оригинальное название: MoneroPay. На файле написано: MoneroPayAgent.exe и spritecoind.exe. Статус: Файлы можно дешифровать!

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .encrypted

Активность этого крипто-вымогателя пришлась на начало января 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Содержание текста о выкупе:
Your files are encrypted
If you close this window, you can always restart and it should appear again.
All your files have been encrypted by us. This means you will be unable to access or use them. In order to retrieve them, you must send 0.3 monero (about $120 USD) to:
46FXmRvyffu59N***
Make sure you include your payment ID:
Use CTRL +C to copy both
IF YOU DO NOT INCLUDE YOUR PAYMENT ID, YOUR FILES CANNOT BE DECRYPTED. Do not waste your time — only we can decrypt your files.
If you have paid, click on the DECRYPT button to return your files to normal. Don't worry, we'll give you your files back if you pay.
[DECRYPT]
FAQ
• What is monero?
   Monero is a cryptocurrency, like bitcoin.
• How do I get monero?
   You can buy monero in many of the same places you can get bitcoin. [More info]
• What happens if I don't pay?
***

Перевод текста на русский язык:
Ваши файлы зашифрованы
Если вы закроете это окно, то всегда сможете перезапустить его, и он должен появиться снова.
Все ваши файлы были зашифрованы нами. Это значит, что вы не сможете получить к ним доступ или использовать их. Чтобы получить их, вы должны отправить 0.3 monero (около 120$ США) на:
46FXmRvyffu59N ***
Убедитесь, что вы указали свой идентификатор платежа:
Используйте CTRL + C, чтобы скопировать оба
ЕСЛИ ВЫ НЕ ВКЛЮЧИТЕ ВАШ PAYMENT ID, ВАШИ ФАЙЛЫ НЕ БУДУТ ДЕШИФРОВАНЫ. Не тратьте свое время - только мы можем расшифровать ваши файлы.
Если вы заплатили, нажмите кнопку DECRYPT, чтобы вернуть файлы в нормальное состояние. Не беспокойтесь, мы вернем вам ваши файлы, если вы заплатите.
[DECRYPT]
Вопросы-Ответы
• Что такое monero?
    Monero - это криптовалюта, как биткоин.
• Как получить monero?
    Вы можете купить monero во многих местах, где можете получить биткоин. [Больше информации]
• Что будет, если я не заплачу?
***

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Распространяется в составе дистрибутива для генерации вымышленной крипто-монеты SpriteCoin. Под видом его установки, когда SpriteCoin якобы загружает и синхронизирует blockchain, запускается шифровальщик. 

   

 Скриншоты "установщика"

Сообщения о фальшивой криптовалюте

По окончании фальшивой синхронизация поддельного блокчейна появится экран блокировки MoneroPay и отобразится экран с требованиями о выкупе. 

Список файловых расширений, подвергающихся шифрованию:
.7z, .apk, .cc, .cgi, .class, .cpp, .css, .doc, .docx, .eps,  .go, .gz, .h, .hpp, .htm, .html, .id_rsa, .img, .iso, .jar, .java, .jpeg, .jpg, .js, .key, .lua, .mkv, .mp4, .ogv, .one, .pem, .pl, .png, .ppt, .pptx, .ps1, .psd, .psf, .py, .pyw, .rar, .rtf, .tcl, .txt, .vbs, .webm, .work, .xls, .xlsx, .zip (50 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, архивы, файлы образов, файлы wallet.dat и пр.

Файлы, связанные с этим Ransomware:
spritecoind.exe
spritecoinwallet.exe
MoneroPayAgent.exe
<random>.exe
\spritecoin\
Сбрасывает 1510 файлов

Расположения:
%APPDATA%\MoneroPayAgent.exe
%TEMP%\<random>.exe
\spritecoin\boost.dll
\spritecoin\cryptonight.dll
\spritecoin\spritecoind.exe
\spritecoin\spritecoinwallet.exe
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /F /t REG_SZ /V "MoneroPay" /D "%APPDATA%\MoneroPayAgent.exe
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "MoneroPay" "MoneroPayAgent.exe"
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: 
xxxx://jmqapf3nflatei35.onion.link (103.198.0.2:80 Сингапур) - C2
xxxx://papyrefb2tdk6czd.onion.link/***
xxxx://p27dokhpz2n7nvgr.onion.link/***
См. ниже результаты анализов.

Результаты анализов:
Ⓥ VirusBuy образец >>
Гибридный анализ >>
VirusTotal анализ >>
VirusTotal анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Статус: Дешифруется!

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Для зашифрованных файлов есть декриптор
Скачать MoneroPayDecryptor для дешифровки >>
Подробная инструкция на английском >>

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

Added later:
Write-up by Fortinet (added on 24 January, 2018)
*

 Thanks: 
 MalwareHunterTeam
 Andrew Ivanov
 Alexander Adamov
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.