Xorist-TaRoNiS

TaRoNiS Ransomware
Xorist-TaRoNiS Ransomware

(шифровальщик-вымогатель)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем требует выкуп в 0.08 BTC, чтобы вернуть файлы. Оригинальное название: не указано. На файле может быть написано, что попало.

© Генеалогия: Xorist >> TraNs, RuSVon > TaRoNiS

К зашифрованным файлам добавляется расширение: .TaRoNiS



Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало июля 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: HOW TO DECRYPT FILES.txt

Содержание записки о выкупе:
ATENTION!!!
I am truly sorry to inform you that all your important files are crypted.
If you want to recover your encrypted files you need to follow a few steps.
Atention!! I do not offer for free the decrypt key, for that you have to pay 0.08 BITCOIN.
Step 1: Create an account on www.localbitcoins.com
Step 2: Buy 0.08 BITCOIN
Step 3: Send the amount on this BTC address: 13oiwC4kgTvzjJNzEXe2n8ubxJyCvHrKfJ
Step 4: Contact me on this email address taronis@gmx.com with this subject: ID-RESTORE-008TARONISPCID0381723
After this steps you will receive through email the key and a decrypt tutorial.
Here is another list where you can buy bitcoin:
https://bitcoin.org/en/exchanges

Перевод записки на русский язык:
ВНИМАНИЕ!!!
Мне правда жаль сообщить, что все ваши важные файлы зашифрованы.
Если вы хотите восстановить ваши файлы, нужно сделать несколько шагов.
Внимание!! Я не предлагаю бесплатно ключ расшифровки, для этого вам надо заплатить 0.08 BITCOIN.
Шаг 1. Создание учетной записи на www.localbitcoins.com
Шаг 2: Покупайте 0.08 BITCOIN
Шаг 3: Отправьте сумму по этому BTC-адресу: 13oiwC4kgTvzjJNzEXe2n8ubxJyCvHrKfJ
Шаг 4: Напишите мне по этому email-адресу taronis@gmx.com с этой темой: ID-RESTORE-008TARONISPCID0381723
После этого вы получите по email ключ и учебник по расшифровке.
Вот еще один список, где вы можете купить биткоин:
https://bitcoin.org/en/exchanges

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW TO DECRYPT FILES.txt
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: taronis@gmx.com
BTC: 13oiwC4kgTvzjJNzEXe2n8ubxJyCvHrKfJ
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ  VMRay анализ >>
ᕒ  ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Xorist Family (семейство Xorist в этом блоге):
Xorist-EnCiPhErEd Ransomware - май 2016
Xorist-FakeRSA Ransomware - февраль 2017
Xorist-Zixer2 Ransomware - апрель 2017
Xorist-TraNs Ransomware - июнь 2017
Xorist-RuSVon Ransomware - июль 2017
Xorist-Hello Ransomware - август 2017
Xorist-CerBerSysLock Ransomware - декабрь 2017
Xorist-Frozen Ransomware - февраль 2018
Xorist-XWZ Ransomware - март 2018
Xorist-TaRoNiS Ransomware - июль 2018

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

См. выше Историю семейства.


Обновление от 25 августа 2018:
Пост на форуме >>
Расширение: .BiTgRoNiS или .SeCuReBlOcK или даже .BiTgRoNiS.SeCuReBlOcK
Записка: HOW TO DECRYPT FILES.txt
Email: bitgronis@gmx.com
BTC: 1GqvZPsfndY2G6cFpDdY5bgShkTThypMhb

➤ Содержание записки: 
ATENTION!!!
I am truly sorry to inform you that all your important files are crypted.
If you want to recover your encrypted files you need to follow a few steps.
Atention!! I do not offer for free the decrypt key, for that you have to pay 0.08 BITCOIN.
Step 1: Create an account on www.localbitcoins.com
Step 2: Buy 0.08 BITCOIN
Step 3: Send the amount on this BTC address: 1GqvZPsfndY2G6cFpDdY5bgShkTThypMhb
Step 4: Contact me on this email address bitgronis@gmx.com with this subject: ID-RESTORE-008BITGRONISPCID0381723
After this steps you will receive through email the key and a decrypt tutorial.
Here is another list where you can buy bitcoin:
https://bitcoin.org/en/exchanges

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Рекомендую обратиться по этой ссылке к thyrex >>
*
*

 Read to links: 
 Tweet on Twitter + Tweet 
 ID Ransomware (ID as Xorist)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov
 Alex Svirid
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.