BKRansomware

BKRansomware Ransomware

(шифровальщик-вымогатель)

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует послать деньги на телефон во Вьетнаме, чтобы вернуть файлы. Оригинальное название: BKRansomware. На файле написано: BKRansomware.exe. Среда разработки: Visual Studio 2013. Разработчик: Nguyễn Hoàng Hải (из Вьетнама).

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение .hainhc

Активность этого крипто-вымогателя пришлась на начало мая 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает следующий экран:

Содержание записки о выкупе:
send 50k viettel to 0963210438 to restore your data

Перевод записки на русский язык:
пошли 50k viettel на 0963210438 для возврата твоих файлов

Технические детали

Разработчик Nguyễn Hoàng Hải назвал себя в Твиттере и сообщил, что использовал BKRansomware для тестирования и не распространял его. Возможно, что кто-то другой воспользовался его разработкой. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

!!! Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.

➤ Файлы на самом деле не зашифрованы, а закодированы с помощью ROT23. 

Список файловых расширений, подвергающихся шифрованию:
.bmp, .c, .chm, .cpp, .doc, .docx, .jpg, .png, .pptx, .py, .pyc, .pyd, .pyo, .pyw, .sql (15 расширений), но может и больше. 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
BKRansomware.exe
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
C:\Users\User_Name\AppData\Local\Temp\BKRansomware.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
ᕒ ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ VMRay анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet
 ID Ransomware
 Write-up, Topic of Support
 * 

 Thanks: 
 Bart
 GrujaRS
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.