B2DR

B2DR Ransomware

(шифровальщик-вымогатель) (первоисточник) 

Translation into English

Этот крипто-вымогатель шифрует данные серверов с помощью AES, а затем требует выкуп в 0.1-0.3 BTC, чтобы вернуть файлы. Оригинальное название: неизвестно и нигде не упоминалось. На файле написано: нет данных.

© Генеалогия: B2DR. Начало

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение .b2dr

Фактически используется составное расширение .bronmerkberpa1976@protonmail.com.b2dr 

Примеры зашифрованных файлов: 
.doc.bronmerkberpa1976@protonmail.com.b2dr 
.txt.bronmerkberpa1976@protonmail.com.b2dr
.png.bronmerkberpa1976@protonmail.com.b2dr

Активность этого крипто-вымогателя пришлась на вторую половину марта 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: readme.txt

Содержание записки о выкупе:
All your files are encrypted.
Ask how to restore your files by email bronmerkberpa1976@protonmail.com
Use only gmail.com, yahoo.com, protonmail.com.
Messages written from other mail services we can not get.
!!!With any changes to the encrypted files, do not forget to backup files!!!
Your ID: ***

Перевод записки на русский язык:
Все ваши файлы зашифрованы.
Спросите, как восстановить файлы по email bronmerkberpa1976@protonmail.com
Используйте только gmail.com, yahoo.com, protonmail.com.
Сообщения, написанные из других почтовых сервисов, мы не получим.
!!!При любых изменениях зашифрованных файлов не забудьте сделать копии!!!
Ваш ID: ***

В ответном письме вымогатели предлагают расшифровать несколько файлов бесплатно и передать из через сервис бесплатных загрузок:
"Hey. Archive any three files no larger than 2 mb.
Archive upload to http://sendspace.com and send us a link to the archive.
We will decrypt the files. Thank you."

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>.exe - случайное название
readme.txt - первый вариант записки о выкупе

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: bronmerberpa1976@protonmail.com
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
ᕒ ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 22 мая 2018: 
Пост в Твиттере >>
Расширение: .b4wq
Составное расширение: .setimichas1971@protonmail.com.b4wq
Записка: Readme.txt
Email: setimichas1971@protonmail.com
Tor-Email: setimichas1971@torbox3uiot6wchz.onion
Зашифрованный файл включает ID жертвы из записки о выкупе (base64) и маркер файла ----BLOCK END---- на конце. 
➤ Содержание записки о выкупе: 
Your files were encrypted with AES-256.
Ask how to restore your files by email setimichas1971@protonmail.com
Use only gmail.com, yahoo.com, protonmail.com.
Messages written from other mail services we can not get.
We always respond to messages. If there is no answer within 24 hours, then write us with another email service.
[OR]
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: setimichas1971@torbox3uiot6wchz.onion
ATTENTION: e-mail (setimichas1971@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
################################
Any actions on your part over encrypted files can damage them. Be sure to make backups!
################################
In the message write us this ID:
[redacted 0x11B bytes in base64]----BLOCK END----



Обновление от 11 июня 2018: 
Пост в Твиттере >>
Расширение: .gw3w
Составное расширение: .reycarnasi1983@protonmail.com.gw3w
Записка: ScrewYou.txt
Email: reycarnasi1983@protonmail.com
➤ Содержание записки: 
Your files were encrypted with AES-256.
Ask how to restore your files by email reycarnasi1983@protonmail.com
Use only gmail.com, yahoo.com, protonmail.com.
Messages written from other mail services we can not get.
We always respond to messages. If there is no answer within 24 hours, then write us with another email service.
[OR]
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: reycarnasi1983@torbox3uiot6wchz.onion
ATTENTION: e-mail (reycarnasi1983@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
################################
Any actions on your part over encrypted files can damage them. Be sure to make backups!
################################
In the message write us this ID:
[redacted base64] -----END KEY-----



Обновление от 13 июня 2018: 
Пост в Твиттере >>
Расширение: .b2fr
Составное расширение: .ssananunak1987@protonmail.com.b2fr
Записка: Readme.txt
Email: ssananunak1987@protonmail.com
➤ Содержание записки: 
Your files were encrypted with AES-256.
Ask how to restore your files by email ssananunak1987@protonmail.com
Use only gmail.com, yahoo.com, protonmail.com.
Messages written from other mail services we can not get.
We always respond to messages. If there is no answer within 24 hours, then write us with another email service.
[OR]
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
b) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: ssananunak1987@torbox3uiot6wchz.onion
ATTENTION: e-mail (ssananunak1987@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
################################
Any actions on your part over encrypted files can damage them. Be sure to make backups!
################################
In the message write us this ID:
[redacted base64]----BLOCK END----

Обновление от 16 октября 2018:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .sg1e
Составное расширение: .passoamoma@keemail.me.sg1e
Записка: Readme.txt
Email: passoamoma1983@protonmail.com, passoamoma@keemail.me

В этом варианте используются маркер файла как у B2DR Ransomware и ID в записке как у B2DR. Хотя сама записка содержит текст, который очень похож на используемый в Ryuk Ransomware. 
➤ Содержание записки: 
Ladies and Gentlemen!
In the security system of your business a serious hole.
You are lucky that we are not students who sell private company data.
We helped keep your data confidential.
Now your files are crypted with the strongest millitary algorithms RSA and AES.
No one can help you to restore files without our special decoder.
Any public program for decrypting files will permanently damage your files.
If you want to restore your files write to emails (contacts are at the bottom of the sheet) and attach 2-3 encrypted files (max size 5 Mb each, non-archived and your files should not contain valuable information (Databases, backups, large excel sheets, etc.)).
You will receive decrypted samples and our conditions how to get the decoder.
Please do not forget to write your ID in the email.
You have to pay for decryption in Bitcoins.
The final price depends on how fast you write to us.
Every day of delay will cost you additional +0.1 BTC
As soon as we get bitcoins you'll get all your decrypted data back.
Moreover you will get instructions how to close the hole in security and how to avoid such problems in the future
+ we will recommend you special software that makes the most problems to hackers.
[Attention! Again.]
Do not rename encrypted files.
Do not try to decrypt your data using third party software.
P.S. Remember! We are not scammers.
We do not need your data, but after 4 weeks, the keys for decrypting your files will be deleted automatically.
Write to us as soon as possible.
All data will be restored absolutely.
Your warranty - decrypted samples.
>>>> Did not receive an answer? <<<<
Check the SPAM folder.
>>>> Is the SPAM folder empty? <<<<
Write to us again.
contact emails
To:  passoamoma1983@protonmail.com, passoamoma@keemail.me
Subject: Encrypted files
Message: YOUR ID and Your question
[YOUR ID]
IAAAAC/plQay3cg0dd9ciV89GipFnTzMVKaP296*****CFw6B/k=  [428 знаков]

Обновление от 13 ноября 2018:
Топик на форуме >>
Расширение: ***
Записка: ***
Email: cloctabernsand1989@protonmail.com
Tor-email: cloctabernsand1989@torbox3uiot6wchz.onion

➤Содержание записки:
*****
Your files were encrypted with AES-256.
Ask how to restore your files by email cloctabernsand1989@protonmail.com
Use only gmail.com, yahoo.com, protonmail.com.
Messages written from other mail services we can not get.
We always respond to messages. If there is no answer within 12 hours, then write us with another email service.
[OR]
If within 24 hours you have not received a response, you need to follow the following instructions:
a) Download and install TOR browser: https://www.torproject.org/download/download-easy.html.en
B) From the TOR browser, follow the link: torbox3uiot6wchz.onion
c) Register your e-mail (Sign Up)
d) Write us on e-mail: cloctabernsand1989@torbox3uiot6wchz.onion
ATTENTION: e-mail (cloctabernsand1989@torbox3uiot6wchz.onion) accepts emails, only with e-mail registered in the TOR browser at torbox3uiot6wchz.onion
################################
Any actions on your part over encrypted files can damage them. Be sure to make backups!
################################
In the message write us this ID:
IAAAAFA0v47bqnaSqVbO9+nrg***---END KEY----- [388 знаков без ---END KEY-----]


Обновление от 25 декабря 2018:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .wq2k
Составное расширение: template.jpg.artilkilin@tuta.io.wq2k
Записка: Readme.txt
Email: artilkilin1984@protonmail.com, artilkilin@tuta.io
➤ Содержание записки: 
Dear computer users. 
All your files were encrypted.
The cost of decryption directly depends on how quickly you write us. 
To show you that we can help you, send us 3 files that do not contain a valuable infomation. Files such as photos or text files. 
We do not recommend restarting your computer, installing antivirus software, or changing file names. All of these actions can cause grant file loss.  
Q: Did not receive an answer? 
A: Check the SPAM folder.
Q: My spam folder is empty, what should I do?
A: Write us with a new email, preferably with protonmail.com
contact emails
To:  artilkilin1984@protonmail.com, artilkilin@tuta.io
Subject: Encrypted files
Message: YOUR ID and Your question
[YOUR ID]
IAAAAHJZVl/1CCjSC3FE9y***RQTimtVptTytCRKiawczUKyI/  [388 знаков]


Обновление от 21 мая 2019:
Расширение: .ke3q
Составное расширение: .open_readme.txt.ke3q
Пример зашифрованного файла: Work-connections.doc.open_readme.txt.ke3q
Записка: Readme.txt
Email: loggitore1984@protonmail.com
loggitore1984@cock.li
loggitore1984@mailchuck.com
loggitore1984@tuta.io
BitMessage: BM-NBagPL1pc8yKDocYNB95XJArzuV19GzS
BM-NBREUMXRztJySnntMx2Jg8vW9j89szWQ

➤ Содержание записки: 
HOW TO GET MY FILES BACK?
1) Download and Install TorBrowser https://www.torproject.org/download/
2) Open link: http://helpmeplzeejynph.onion/946791530a05bf85f79ad00a5003bde4 in TorBrowser
3) Follow the instructions on the site.
Bitmessage contact: BM-NBagPL1pc8yKDocYNB95XJArzuV19GzS
https://bitmessage.org/wiki/Main_Page
---BEGIN KEY---
IAAAAHc82tPv9Wz***M7WxBkQ==
---END KEY--- [420 знаков]

➤ Текст на странице в сети Tor:
IF YOU HAVE NOT RECEIVED A RESPONSE FROM US WITHIN 3 HOURS, PLEASE RE-OPEN THIS LINK AND CHECK OUR CONTACT DETAILS, THEY CAN CHANGE.
If the contact details are the same, try a different way to contact us.
E-mail communication method:
1) loggitore1984@protonmail.com
2) loggitore1984@cock.li
3) loggitore1984@mailchuck.com
4) loggitore1984@tuta.io
Bitmessage communication method:
1) Download https://bitmessage.org/wiki/Main_Page
2) Write on BM-NBREUMXRztJySnntMx2Jg8vW9j89szWQ
In the first message you need to send a file readme.txt
REMEMBER. IT IS IMPORTANT.
The cost of decrypting files depends on:
1) Your country.
2) How quickly you turned to us for help.
REMEMBER. Your personal data and your company data were vulnerable.
Your reputation suffers.
We can help you get your files back, and also show you what needs to be done so that this does not happen again. 

Обновление от 9 сентября 2020:

Топик на форуме >>

Расширение: .hr5d

Составное расширение: .open_readme.txt.hr5d

Пример зашифрованного файла: Work-connections.doc.open_readme.txt.hr5d

Записка: Readme.txt

Email: lousimzaci19@protonmail.com, lousimzaci19@tutanota.com

Tor-URL: http://filesbackzmr2aom.onion/

➤ Содержание записки: 

HOW TO GET MY FILES BACK?

1) Download and Install TorBrowser https://www.torproject.org/download/

2) Open link: http://filesbackzmr2aom.onion/*** in TorBrowser

3) Follow the instructions on the site.

---BEGIN KEY---

*****

---END KEY---

---

➤ Содержание записки на сайте:

Main mail: lousimzaci19@protonmail.com

Second mail: lousimzaci19@tutanota.com

We are always responsible.

If there is no answer for several hours, then it is worth visiting this page, most likely we have changed our contact information.

This URL is unique and known only to you. Therefore, we know that you visited this URL.

The cost of our program depends on how quickly you write to us.

We decrypt files for residents of Venezuela for free, the IP of your server should be determined by most public databases as from Venezuela.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 (victim in the topics of support)
 Andrew Ivanov
 Michael Gillespie
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

шифровальщик вирус-шифровальщик троян-шифровальщик aes крипто-вымогатель удалить восстановить файлы расшифровка расшифровать дешифровать дешифрование дешифровка алгоритм crypto-ransomware virus-encoder filecoder key ransom decrypt decryption recovery remove restore files data public private