Scarab-Bitcoin

Scarab-Bitcoin Ransomware

(шифровальщик-вымогатель)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: не указано. Написан на Delphi. 

© Генеалогия: Scarab >> Scarab Family > {update encryptor} > Scarab-Bitcoin

Это изображение только логотип статьи

К зашифрованным файлам добавляется расширение / Appends to encrypted files the extensions: 
.bitcoin

Файлы вместе с расширениями переименовываются до неузнаваемости с помощью Base64. Files with extensions are renamed beyond recognition with Base64.

Пример зашифрованного файла / Sample of encrypted file:
DLxf=b9QKpCIvnOOQmk=cWA=Np1NJHxnlSD1q0pGQyrKMnbCRqu.bitcoin
gEh3sKe1WaNX+QrNSGqaeIqNET3dCZC7ds2UJh0Uu8sLR4CSzUTtV3I4w.bitcoin


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину июня 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется / Name of ransom note:
HOW TO RECOVER ENCRYPTED FILES.TXT

Содержание записки о выкупе / Contents of ransom note:
=================================
HOW TO DECRYPT YOUR FILES
Your personal ID
6A02000000000000***70FD01
Your files, documents, photo, databases and all the rest aren't 
They are ciphered by the most reliable enciphering.
It is impossible to restore files without our help.
You will try to restore files independent you will lose files
FOREVER.
----------------------------------------------------------
You will be able to restore files so:
to contact us by e-mail: GarryAxe@protonmail.ch 
* report your ID and we will switch off any removal of files
(if don't report your ID identifier, then each 24 hours will be
to be removed on 24 files. If report to ID-we will switch off it)
* you send your ID identifier and 2 files, up to 1 MB in size everyone.
   We decipher them, as proof of a possibility of interpretation.
   also you receive the instruction where and how many it is necessary to pay.
you pay and confirm payment.
after payment you receive the DECODER program. which you restore ALL YOUR FILES.
 ----------------------------------------------------------
  You have 72 hours on payment.
If you don't manage to pay in 72 hours, then the price of interpretation increases twice.
The price increases twice each 72 hours.
To restore files, without loss, and on the minimum tariff, you have to pay within 72 hours.
Address for detailed instructions e-mail: GarryAxe@protonmail.ch
 * If you don't waste time for attempts to decipher, then you will be able to restore all files in 1 hour.
 * If you try to decipher - you can FOREVER lose your files.
 * Decoders of other users are incompatible with your data as at each user unique key of enciphering
If it is impossible to communicate through mail
 * Be registered on the website http://bitmsg.me (service online of sending Bitmessage)
 * Write the letter to the address BM-2cXZeETPThSvCSsUht4kY68qim5Nk8jnuq with the indication of your mail and
 the personal identifier and we will communicate.
 ----------------------------------------------------------
If you have no bitcoins
 * Create Bitcoin purse: https://blockchain.info
 * Buy Bitcoin in the convenient way
  https://localbitcoins.com/ (Visa/MasterCard)
  https://www.buybitcoinworldwide.com/ (Visa/MasterCard)
  https://en.wikipedia.org/wiki/Bitcoin (the instruction for beginners)
 - It doesn't make sense to complain of us and to arrange a hysterics. 
 - Complaints having blocked e-mail, you deprive a possibility of the others, to decipher the computers.
   Other people at whom computers are also ciphered you deprive of the ONLY hope to decipher. FOREVER.
 - Just contact with us, we will stipulate conditions of interpretation of files and available payment, 
   in a friendly situation
================================

Перевод записки на русский язык:
=================================
КАК ДЕШИФРОВАТЬ ВАШИ ФАЙЛЫ
Ваш личный идентификатор
6A02000000000000 *** 70FD01
Ваши файлы, документы, фотографии, базы данных и все остальные не такие
Они зашифрованы самым надежным шифрованием.
Невозможно восстановить файлы без нашей помощи.
Вы попродуете восстановить файлы независимо от того, что потеряете файлы
НАВСЕГДА.
-------------------------------------------------- --------
Вы сможете восстановить файлы так:
связаться с нами по email: GarryAxe@protonmail.ch
* сообщите ваш ID, и мы отключим удаление файлов
(если не сообщите ваш ID идентификатор, то каждые 24 часа будут
удаляться 24 файла. Если сообщите ID - мы его отключим)
* вы пришлите ваш ID идентификатор и 2 файла, каждый размером до 1 МБ.
   Мы расшифруем их, как доказательство возможности интерпретации.
   также вы получаете инструкцию, где и сколько нужно платить.
вы платите и подтверждаете оплату.
после оплаты вы получаете программу DECODER. которым вы восстановите ВСЕ ВАШИ ФАЙЛЫ.
 -------------------------------------------------- --------
  У вас есть 72 часа на оплату.
Если вы не сможете заплатить через 72 часа, цена интерпретации будет удвоена.
Цена удваивается два раза каждые 72 часа.
Чтобы восстановить файлы без потерь и по минимальному тарифу, вы должны заплатить за 72 часа.
Адрес для подробных инструкций e-mail: GarryAxe@protonmail.ch
 * Если вы не тратите время на попытки расшифровки, вы сможете восстановить все файлы за 1 час.
 * Если вы попытаетесь расшифровать - вы можете НАВСЕГДА потерять ваши файлы.
 * Декодеры других пользователей несовместимы с вашими данными, так как у каждого пользователя уникальный ключ шифрования
Если невозможно связаться по почте
 * Зарегистрируйтесь на сайте http://bitmsg.me (услуга онлайн отправки Bitmessage)
 * Напишите письмо на адрес BM-2cXZeETPThSvCSsUht4kY68qim5Nk8jnuq с указанием вашей почты и
 персональный идентификатор, и мы свяжемся.
 -------------------------------------------------- --------
Если у вас нет биткоинов
 * Создайте Биткоин-кошелек: https://blockchain.info
 * Купите биткоины удобным способом
  https://localbitcoins.com/ (Visa/MasterCard)
  https://www.buybitcoinworldwide.com/ (Visa/MasterCard)
  https://en.wikipedia.org/wiki/Bitcoin (инструкция для новичков)
 - Не имеет смысла жаловаться на нас и устраивать истерику.
 - Жалобы, заблокировавшие email, лишают возможности других расшифровать компьютеры.
   Других людей, у которых компьютеры также зашифрованы, вы лишаете ЕДИНСТВЕННОЙ надежды расшифровать. НАВСЕГДА.
 - Просто свяжитесь с нами, мы предусмотрим условия интерпретации файлов и доступных платежей,
   в дружественной ситуации
================================

Технические детали / Technical details

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию / Extensions of target files:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware / Files of Rw:
HOW TO RECOVER ENCRYPTED FILES.TXT
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware / Registry entries of Rw:
См. ниже результаты анализов.

Сетевые подключения и связи / URLs, contacts, payments:
См. ниже результаты анализов.

Результаты анализов / Online-analysis:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
ᕒ  ANY.RUN анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
ⴵ  VMRay анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Scarab Family (семейство Scarab):
Scarab (ScarabLocker) - июнь-август 2017, ноябрь 2017
Scarab-Scorpio (Scorpio) - июль 2017
Scarab-Jackie - октябрь 2017
Scarab-Russian (Scarabey) - декабрь 2017
Scarab-Decrypts - март 2018
Scarab-Crypto - март 2018
Scarab-Amnesia - март 2018
Scarab-Please - март 2018
Scarab-XTBL - апрель 2018
Scarab-Oblivion - апрель 2018
Scarab-Horsia - май 2018
Scarab-Walker - май 2018
Scarab-Osk - май 2018 
Scarab-Rebus - май 2018 
Scarab-DiskDoctor - июнь 2018
Scarab-Danger - июнь 2018
Scarab-Crypt000 - июнь 2018
Scarab-Bitcoin - июнь 2018
Scarab-Bomber - июнь 2018
Scarab-Omerta - июнь-июль 2018
Scarab-Bin - июль 2018
Scarab-Recovery - июль 2018

Scarab-Turkish - июль 2018
и другие.

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

➤ См. выше Историю семейства. 

Обновление от 19-20 июня 2018:
Файлы можно дешифровать, если они зашифрованы до 18 июня 2018 года.
В июне 2018 злоумышленники, распространяющие шифровальщики семейства Scarab, обновили основной крипто-конструктор. 
В предыдущих версиях Scarab-шифровальщиков был Trojan.Encoder.18000 (по классификации Dr.Web). Файлы можно было дешифровать. 
В новых версиях файл шифровальщика детектируется уже как  Trojan.Encoder.25574 (по классификации Dr.Web). Файлы пока не дешифруются. 

Обновление от 20 июня 2018:
Пост в Твиттере >>
Расширение: .recme
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
Email: recfiles@protonmail.com 
Bitmessage: BM-2cTgGUjqALdcJp2kEhsgUUnhpFPgkikerB
Статус: Файлы пока не дешифруются.
➤ Содержание записки о выкупе:
=================================
HOW TO DECRYPT YOUR FILES
Your personal ID
6A02000000000000***CFE903
Your files, documents, photo, databases and all the rest aren't 
are ciphered by the most reliable enciphering.
All information about clients and their personal data was uploaded.
You must have no illusion that you can get out of this situation without our help.
You have two choices:
1. Unsuccessful try to decrypt files and lose them along with the business.
2. Or write to us and pay for the decryption keys and back clients files and.
We are not going to destroy your business. We show the problem on real example.
ATTENTION! If you do not contact us within two days, the decryption keys will be destroyed and we will send some of files to your clients with information about your disability. They will pay instead of you or we will put all data on the network.
Don't waste time, the cost directly depends on the time of contact with us.
----------------------------------------------------------
You will be able to restore files so:
contact us by e-mail: recfiles@protonmail.com 
* report your ID and we will switch off any removal of files
(if you don't report your ID identifier within 48 hours, decrypt key will be lost)  
* you send your ID identifier and 2 files, up to 1 MB in size everyone.
   We decipher them, as proof of a possibility of interpretation.
   also you receive the instruction where and how many it is necessary to pay.
you pay and confirm payment.
after payment you receive the DECODER program. which you restore ALL YOUR FILES.
 ----------------------------------------------------------
  You have 48 hours on payment.
If you don't manage to pay in 48 hours, then the price of interpretation increases twice.
The price increases twice each 48 hours.
To restore files, without loss, and on the minimum tariff, you have to pay within 48 hours.
Address for detailed instructions e-mail: recfiles@protonmail.com
 * If you don't waste time for attempts to decipher, then you will be able to restore all files in 1 hour.
 * If you try to decipher - you can FOREVER lose your files.
 * Decoders of other users are incompatible with your data as at each user unique key of enciphering
If it is impossible to communicate through mail
 * Be registered on the website http://bitmsg.me (service online of sending Bitmessage)
 * Write the letter to the address BM-2cTgGUjqALdcJp2kEhsgUUnhpFPgkikerB with the indication of your mail and
 the personal identifier and we will communicate.
 ----------------------------------------------------------
If you have no bitcoins
 * Create Bitcoin purse: https://blockchain.info
 * Buy Bitcoin in the convenient way
  https://localbitcoins.com/ (Visa/MasterCard)
  https://www.buybitcoinworldwide.com/ (Visa/MasterCard)
  https://en.wikipedia.org/wiki/Bitcoin (the instruction for beginners)
 - It doesn't make sense to complain of us and to arrange a hysterics. 
 - Complaints having blocked e-mail, you deprive a possibility of the others, to decipher the computers.
   Other people at whom computers are also ciphered you deprive of the ONLY hope to decipher. FOREVER.
 - Just contact with us, we will stipulate conditions of interpretation of files and available payment,  in a friendly situation
=================================

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы в некоторых случаях можно дешифровать!
Изучите моё руководство в статье SCARAB DECODER
Или прочтите инфу по ссылке. Мой перевод рядом. 
Or ask for help using this link. My translation beside.

 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware (ID as Scarab)
 Write-up, Topic of Support
 * 

 Thanks: 
 (victims in the topics of support)
 Michael Gillespie
 Emmanuel_ADC-Soft
 Andrew Ivanov

 

© Amigo-A (Andrew Ivanov): All blog articles.