BtcKING

BtcKING Ransomware

(шифровальщик-вымогатель)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: не указано. На файле написано: нет данных.

© Генеалогия: выясняется.

К зашифрованным файлам добавляется расширение: .BtcKING

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину июня 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: How To Decode Files.txt

 Скриншот записки целиков и частями

Содержание записки о выкупе:
<<-----ALL DATA ON THIS PC HAS BEEN ENCRYPTED.----->
To recover data you need decryptor.
To get the decryptor you should:
Send 1 test image or text file to BM-2cTAPjtTkqiW2twtykGm5mtocFAz7g5FZc@bitmessage.ch.
In the letter include your personal ID (look at the beginning of this document).
Attach the file with the location c:\Windows\YOUR KEY.KEY
We will give you the decrypted file and say price for decryption all files
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions We can decrypt one file in quality the evidence that we have the decoder.
Attention!
Only BM-2cTAPjtTkqiW2twtykGm5mtocFAz7g5FZc@bitmessage.ch can decrypt your files
Do not trust anyone BM-2cTAPjtTkqiW2twtykGm5mtocFAz7g5FZc@bitmessage.ch
Do not attempt to remove the program or run the anti-virus tools. You can loss your data
Attempts to self-decrypting files will result in the loss of your data
Decoders for other IDs are not compatible with your ID data, because each user's unique encryption key
Your  ID  b-DdocMTJy62  
@@@@@@@@@@
***************

Перевод записки на русский язык:
<< ----- ВСЕ ДАННЫЕ НА ЭТОМ ПК БЫЛИ ЗАШИФРОВАНЫ .----->
Для восстановления данных необходим дешифратор.
Чтобы получить дешифратор, вы должны:
Отправить 1 тестовое изображение или текстовый файл на BM-2cTAPjtTkqiW2twtykGm5mtocFAz7g5FZc@bitmessage.ch.
В письме укажите свой личный идентификатор (посмотрите на начало этого документа).
Прикрепите файл из места c:\Windows\YOUR KEY.KEY
Мы дадим вам расшифрованный файл и скажем цену за  дешифрования всех файлов
После того, как мы отправим вам инструкцию по оплате дешифрования и после оплаты, вы получите дешифратор и инструкции. Мы можем дешифровать один файл в доказательство того, что у нас есть декодер.
Внимание!
Только BM-2cTAPjtTkqiW2twtykGm5mtocFAz7g5FZc@bitmessage.ch может расшифровать ваши файлы
Не верьте никому BM-2cTAPjtTkqiW2twtykGm5mtocFAz7g5FZc@bitmessage.ch
Не пытайтесь удалить программу или запустить антивирусные средства. Вы можете потерять свои данные
Попытки самодешифрования файлов приведут к потере ваших данных
Декодеры для других ID несовместимы с вашими ID данными, поскольку уникальный ключ шифрования у каждого пользователя
Your  ID  b-DdocMTJy62  
@@@@@@@@@@
***************

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
How To Decode Files.txt
YOUR KEY.KEY
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->


Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Bitmessage: BM-2cTAPjtTkqiW2twtykGm5mtocFAz7g5FZc@bitmessage.ch
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
ᕒ  ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ  VMRay анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.