ByteLocker

ByteLocker Ransomware

Aliases: BytesLocker, Bytelocker

(вымогатель, фейк-шифровальщик) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $150 в BTC, чтобы вернуть файлы. Оригинальное название: ByteLocker, BytesLocker. На файле написано: ByteLocker.exe
---
Обнаружения:

ALYac -> Trojan.Ransom.ScreenLocker 
Avira (no cloud) -> TR/LockScreen.sarli
BitDefender -> Trojan.GenericKD.30353039 
ESET-NOD32 -> A Variant Of MSIL/LockScreen.XP 
McAfee -> Ransomware-GJS!201C3E2C96C7 
Rising -> Trojan.LockScreen!8.1AF (CLOUD)  
Symantec -> ML.Attribute.HighConfidence 
Tencent -> Win32.Trojan.Generic.Hmho 
TrendMicro -> Ransom_BYTELOCKER.THBAIAH 
---

© Генеалогия: ✂️ HiddenTear >> ByteLocker + ✂️ Jigsaw > UnluckyWare 

Изображение — логотип статьи

Ничего неизвестно о шифровании файлов. Возможно не шифрует или находится разработке. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого вымогателя был найден в середине февраля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки: 

Содержание текста с экрана:
Your Windows has been Locked by BytesLocker
How can I unlock my windows???
It's easy pay 150 dollars to bitcoin adress below and we will get you decryption code
BitCoin Adress: XXXX-XXXX-XXXX-XXXX
Enjoy (:
***
Enter Decryption Key
***
[Buy BitCoins]  [Unlock My Windows]

Перевод текста на русский язык:
Ваш Windows был заблокирован BytesLocker
Как я могу разблокировать свой windows???
Вы можете заплатить 150 долларов на указанный адрес в биткойнах, и мы дадим вам код расшифровки
Адрес BitCoin: XXXX-XXXX-XXXX-XXXX
Наслаждаться (:
***
Введите ключ дешифрования
[Купить Биткоины]  [Разблок мой Windows]

Технические детали

Мы ничего не знаем о его распространении. Но после доработки вполне может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ByteLocker.exe - исполняемый файл крипто-вымогателя
ByteLocker.pdb - название оригинального проекта
0FRh21Nc61.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\TestingLabs\source\repos\ByteLocker\ByteLocker\obj\Debug\ByteLocker.pdb
C:\Users\User\Desktop\0FRh21Nc61.exe

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr   "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ByteLocker
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 14 января 2021:

Сообщение >>

Самоназвание: Bytelocker. 
Фактически является промежуточным вариантом из 2019 года между ByteLocker (2018) и UnluckyWare Ransomware (2020). Просто он не был найден раньше. 

Шифрует файлы, добавляя временное расширение .bytcrypttmp, а потом удаляет его. 

➤ Содержание текста на экране:

Your personal files are encrypted!

Your important files, documents, pictures, etc. Have been encrypted.

Here is a complete list of encrypted files, you can verify this manually.

Encryption was produced using AES-256 in order to decrypt the files, you need to obtain the password used to generate the key.

The password will only be available for a limited time, after this, the program will delete itself and there will be no way to recover encrypted files.

NOTE: Removal of or modification of this software will lead to inability to decrypt files. 

---

Файл проекта: C:\Users\Swissky\Source\Repos\Bytelocker\Bytelocker\obj\Debug\Bytelocker.pdb
Файл EXE: Bytelocker.exe

Результаты анализов: VT + VMR + IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.33375

BitDefender -> Gen:Heur.Ransom.HiddenTears.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.XL

Malwarebytes -> Ransom.ByteLocker

Microsoft -> Ransom:MSIL/FileCryptor.B!MTB

Qihoo-360 -> Generic/Trojan.Ransom.786

Rising -> Ransom.HiddenTear!8.DC9E (TFE:C:U7lg23t0qaO)

Symantec -> ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Generic.Hupm

TrendMicro -> Ransom.MSIL.BYTELOCKER.SM

---

➤ Использование реестра:

HKEY_CURRENT_USER\Software\ByteLocker

HKEY_CURRENT_USER\Software\ByteLocker\Config

HKEY_CURRENT_USER\Software\ByteLocker\Files

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\7B0ILplNwefpfXtyz_xS.jpg

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\9_N0.bmp

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\CL56AXGMWABO.bmp

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\FsaMHPa9TZb1sAFtjpi.bmp

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\HbpIXogiAVrgAEhs.jpg

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\desktop.ini

HKEY_CURRENT_USER\Software\ByteLocker\Files\C:\Users\FD1HVy\Pictures\f oal2r.gif

HKEY_CURRENT_USER\Software\ByteLocker\id

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Bytelocker

Вариант от 16 июля 2022: 

Сообщение: twitter.com/petrovic082/status/1548359315873861632

Расширение: .bytcrypttmp

Файл проекта: Bytelocker.pdb

Файл EXE: Bytelocker.exe

IOC: VT + AR 

MD5: 4b6b623d12cd51057b09075f095cf32d

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (article author)
 GrujaRS
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.