JabaCrypter

JabaCrypter Ransomware

(шифровальщик-вымогатель) (первоисточник) 

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: хитрожопый криптер (в записке). На файле написано: нет данных. 

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .cryptfile

Активность этого крипто-вымогателя пришлась на вторую половину апреля 2018 г. Ориентирован на русскоязычных пользователей, что не мешает распространять его по всему миру. С 2016 года попадались похожие или родственные Ransomware. 

Записка с требованием выкупа называется: !  ПРОЧТИ МЕНЯ.html
В заголовке файла написано: :: help ::

Содержание записки о выкупе:
Отчёт: Все ваши файлы успешно зашифрованны.
Без паники, Дамы и Господа!
-----------------------------------
Все ваши файлы и базы успешно зашифрованны нашим хитрожопым криптером.
Расшифровка всего вашего добра не имея уникального "расшифровщика" практически НЕВОЗМОЖНА!, Вы просто уничтожите все ваши данные.
Если вы не жадный, а очень щедрый человек, то мы готовы обменять всю вашу драгоценную информацию на жалкие бумажки именуемые бабками.
Поверьте бабло, побеждает зло, отдайте его нам.
-----------------------------------
По вопросу приобретения "расшифровщика" писать на почту: jabanenok@gmail.com
В письме - не забудьте указать ваш "id" указанный в конце каждого зашифрованного файла.
Мы бесплатно расшифруем несколько ваших файлов, что бы вы убедились что дешифратор у нас есть, возможно будет и у вас.
-----------------------------------
© 2018 Всё будет хорошо!  


Перевод записки на русский язык:
Уже сделан. Разберём "грамотность" вымогателей. 
Несмотря на русский текст, имеется ряд ошибок:
- Слово "зашифрованны" дважды написано с ошибочным удвоением - нн.
- Деепричастный оборот "не имея уникального "расшифровщика"" не отмечен запятыми с двух сторон. 
- После восклицательного знака "!," стоит запятая, хотя дальше по смыслу новое предложение. 
- Во фразе "бумажки именуемые бабками" не поставлена запятая. 
- Во фразе "Поверьте бабло, побеждает зло" запятая поставлена неправильно. 
- Во фразе "В письме - не забудьте указать ваш "id"" поставлено ненужное тире и после "id" не поставлена запятая. 
- Слова "что бы" в данном предложении играют роль подчинительного союза "чтобы", потому их надо писать вместе. 
В общем довольно много ошибок в орфографии и пунктуации. 


Перевод записки на английский язык / in English (orthography of the original):
Report: All your files are successfully encrypted.
Without panic, Ladies and Gentlemen!
-----------------------------------
All your files and databases are successfully encrypted by our sly-ass cryptor.
Deciphering all your goods without having a unique "decryptor" is virtually impossible !, you simply destroy all your data.
If you are not greedy, but a very generous person, then we are ready to exchange all your precious information for pathetic paper called bucks.
Believe me, the loot wins the evil, give it to us.
-----------------------------------
On the acquisition of "decryptor" write to the mail: jabanenok@gmail.com
In the letter - do not forget to indicate your "id" specified at the end of each encrypted file.
We will decrypt  for free several of your files, so that you can make sure that we have the decoder, maybe he will be by you.
-----------------------------------
© 2018 Everything will be fine!

Технические детали

Наиболее вероятно распространяется путём взлома через незащищенную конфигурацию RDP, может распространяться с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
!  ПРОЧТИ МЕНЯ.html
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: jabanenok@gmail.com
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺 VirusTotal анализ >>
ᕒ ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 16 февраля 2019:
Пост в Твиттере >>
Пример расширения: .infileshop@gmail_com_ID44
Шаблон расширения: .infileshop@gmail_com_<id>
Записка: !  ПРОЧТИ МЕНЯ  !.html
Email: infileshop@gamail.com

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 Alex Svirid, Andrew Ivanov
 *
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.