RaRuCrypt

RaRuCrypt Ransomware

(шифровальщик-вымогатель, rar-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES в программа WinRar, а затем требует выкуп в 200 рублей, чтобы вернуть файлы. Оригинальное название. Разработчик-вымогатель: Альберт Михайлович. 

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение *нет данных*.

Активность этого крипто-вымогателя пришлась на начало февраля 2018 г. Ориентирован на русскоязычных и англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: 
README1.TXT
README2.TXT
README3.TXT
README4.TXT
README5.TXT
README6.TXT
README7.TXT
README8.TXT

Содержание записки о выкупе:
Внимание! Ваши файлы были зашифрованы!
Стоимость расшифровки: 200 RUB.
Контакты: vk.com/id12269280
Attention! Your files were encrypted!
Decryption costs: 200 RUB.
Contacts: vk.com/id12269280


Страница вымогателя в социальной сети ВКонтакте уже заблокирована:

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Файлы пользователя
Это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
rar.exe
bigbang.txt.rar
bigbang.txt
_kill.bat
\AppData\README1.TXT
\AppData\README2.TXT
\AppData\README3.TXT
\AppData\README4.TXT
\AppData\README5.TXT
\AppData\README6.TXT
\AppData\README7.TXT
\AppData\README8.TXT

Расположения:
\AppData\rar.exe
\Desktop\bigbang.txt.rar
\Desktop\bigbang.txt
\AppData\_kill.bat
C:\WINDOWS\system32\chcp.com chcp 1251
\AppData\README1.TXT
\AppData\README2.TXT
\AppData\README3.TXT
\AppData\README4.TXT
\AppData\README5.TXT
\AppData\README6.TXT
\AppData\README7.TXT
\AppData\README8.TXT
\Desktop\ ->
\User_folders\ ->

Расшифровка выполняется через RAR и пароль:
 S?{DCO^C!{L@CR^+<7E}2

Для расшифровки выполняется команда: 
\AppData\rar.exe" a -hpS?{DCO^C!{L@CR^+<7E}2

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:vk.com/id12269280
См. ниже результаты анализов.

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>
Другой анализ >>

Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 Jakub Kroustek
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.