Delphimorix! Ransomware
DelphiMorix Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные с помощью RC6, а затем требует нереальный выкуп в 101.5 BTC BTC, чтобы вернуть файлы. По всей видимости, это такая опасная шутка. Оригинальное название: DelphiMorix и Delphimorix!. На файле написано: Project1.exe. Написан на Borland Delphi 7.
© Генеалогия: InducVirus > Delphimorix
© Генеалогия: родство подтверждено сервисом Intezer Analyze >>
К зашифрованным файлам добавляется расширение:
.DeLpHiMoRiX!@@@@_@@_@_2018_@@@_@_@_@@@
В другом варианте используется расширение: .449043
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Образец этого крипто-вымогателя найден во второй половине ноября 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Пока он только представлен на форумах кибер-подполья и массово не распространяется.
Запиской с требованием выкупа выступает экран блокировки.
Содержание записки о выкупе:
Delphimorix! Ransomware
All your files have been encrypted with Delphimorix!
Encryption algorythm a RC6, safe and fast algortythm!
Nobody, you not recover your files without our decryption service.
Its a ransomware, coded with Borland Delphi 7.
Ransomware tactic - decrypt all your files quickly and easily before paying to our Bitcoin wallet.
Wallet: qXS2948jf9d8ls0s8JS0a8djhSo - 101.5BTC (10 billion dollars)
Before paying contact with our mail:
incognitoman@protonmail.com
[Okay, please close]
Delphimorix! Ransomware
Все ваши файлы были зашифрованы Delphimorix!
Алгоритм шифрования RC6, безопасный и быстрый алгоритм!
Никто, вы не восстановите свои файлы без нашей службы дешифровки.
Это Ransomware, написанный с Borland Delphi 7.
Ransomware тактика - дешифровать все ваши файлы быстро и легко, прежде заплатить на наш биткоин-кошелек.
Кошелек: qXS2948jf9d8ls0s8JS0a8djhSo - 101.5BTC (10 миллиардов долларов)
Прежде чем оплатить контакт с нашей почтой:
incognitoman@protonmail.com
[Хорошо, закрыть]
Кажется есть также текстовая записка: delphimorix_ransom_note.txt
Технические детали
Вероятно, пока массово не распространяется и представлен лишь на форумах кибер-подполья.
После доработки может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
Project1.exe
Decrypt.txt
<random>.exe - случайное название
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: incognitoman@protonmail.com
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid анализ >> +HA>>
𝚺 VirusTotal анализ >> +VT>>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ VMRay анализ >>
ᕒ ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
InducVirus Ransomware - ноябрь 2018
Delphimorix! Ransomware - ноябрь 2018
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновление от 22 ноября:
Пост в Твиттере: S!Ri, Michael Gillespie
Самоназвание версии: Delphimorix! Red
Расширение: .demonslay335_you_cannot_decrypt_me!
Расширение является ответом Майклу Джиллеспи, который сообщил в Твиттере, что можно расшифровать файлы, зашифрованные вчерашней версией Delphimorix!
Информатором выступает экран блокировки и текстовый файл Decrypt.txt с аналогичным содержанием.
Email: siniyzabor@protonmail.com
Сумма выкупа: 999999.5 BTC
Файл: dm.exe
Результаты анализов: VT
Обновление от 23 ноября 2018:
Пост в Твиттере >>
Самоназвание версии: DelphiMorix! Green
Расширение: .malwarehunterteam
Файл: s0d.exe
Записка: Decrypt.txt
Email: ya_chainik!@protonmail.com
➤ Содержание записки:
All your files have been encrypted with Delphimorix!
Ansi based on Dropped File (Decrypt.txt)
All your files have been encrypted with Delphimorix!
Encryption algorythm a RC6, safe and fast algortythm!
And: RC6 encrypts with RC5, RC5 encrypts with IDEA!
Nobody, you can't recover your files without our decryption service.
Its a ransomware, coded with Borland Delphi 7.
Ransomware tactic - decrypt all your files quickly and easily before paying to our Bitcoin wallet.
Wallet: jhdshuidshhdhifsofjsf - 999999.5 BTC (99999999999999999 triillion dollars)
Before paying contact with our mail: ya_chainik!@protonmail.com
Don't close the window, or you don't decrypt FOREVER!
Следующие изображения демонстрируют то, что происходит после ввода ключа и запуска процесса дешифрования.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание! Файлы можно дешифровать! Рекомендую обратиться по этой ссылке к Майклу Джиллеспи >>
Read to links: Tweet on Twitter + Tweet + Tweet + Tweet ID Ransomware (ID as InducVirus) Write-up, Topic of Support *
Thanks: Georg Nation, Marcelo Rivero, Michael Gillespie Andrew Ivanov * *
© Amigo-A (Andrew Ivanov): All blog articles.
Комментариев нет:
Отправить комментарий
ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.