Vendetta Ransomware
(шифровальщик-вымогатель)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Vendetta. На файле написано: Defender, Windows Defender и enc.exe. Фальш-копирайт: MICROSOFT Corporation © 2021
К зашифрованным файлам добавляются расширения:
.vendetta
.VENDETTA
.vendetta2
Зашифрованные файлы переименовываются до неузнаваемости.
Пример зашифрованного файла:
01-3F-F3-3C-6B-E0-16-F1-70-BA-45-23-FD-5C-DF-0F.vendetta
01-3F-F3-3C-6B-E0-16-F1-70-BA-45-23-FD-5C-DF-0F.VENDETTA
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Активность этого крипто-вымогателя пришлась на начало ноября 2018 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записки с требованием выкупа называются:
How to decrypt files.html
how_to_decrypt_files.txt
Содержание записки о выкупе:
All your filed have been encrypted!
All your filed have been encrypted due to a security problem with your PC. If you want to restore them, write us to the email DecryptFox@protonmail.com
Write this ID in the title of your message [redacted 32 lowercase hex]---[redacted different 32 lowercase hex]
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 5 files for free decryption. the total size of files must be less than 10Mb (non archived), and the files should not contain valuable information. (databases, backups, large excel sheets, etc.)
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Перевод записки на русский язык:
Все ваши файлы зашифрованы!
Все ваши файлы были зашифрованы из-за проблемы с безопасностью на вашем ПК. Если вы хотите их восстановить, напишите нам на email DecryptFox@protonmail.com
Напишите этот идентификатор в заголовке вашего сообщения [32 строчные HEX] --- [разные 32 строчные буквы]
Вы должны заплатить за дешифрование в биткоbнах. Цена зависит от того, как быстро вы пишете нам. После оплаты мы отправим вам инструмент дешифрования, который расшифрует все ваши файлы.
Бесплатное дешифрование в качестве гарантии
Перед оплатой вы можете отправить нам до 5 файлов для бесплатного дешифрования. общий размер файлов должен быть меньше 10 МБ (без архивирования), и файлы не должны содержать ценную информацию. (базы данных, резервные копии, большие листы Excel и т. д.)
Внимание!
Не переименовывать зашифрованные файлы.
Не пытайтесь расшифровывать свои данные с помощью сторонних программ, это может привести к постоянной потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют плату за нас), или вы можете стать жертвой мошенничества.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. ➤ Использует сервис api.ipify.org для определения IP компьютера.
Отправляет информацию с помощью Telegram.
➤ Использует следующий белый список.
➤ Удивил следующим показателем: RSA-5008
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
enc.exe
How to decrypt files.html
how_to_decrypt_files.txt
<random>.exe - случайное название
log.html
processes.csv
_enc.pdb
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
p:\read\st3\bin\release\_enc.pdb
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: DecryptFox@protonmail.com
http://api.ipify.org/
https://api.telegram.org/
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺 VirusTotal анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ VMRay анализ >>
ᕒ ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание! Файлы можно дешифровать! Рекомендую обратиться по этой ссылке к Майклу Джиллеспи >> Только перед этим НЕ перезагружайте систему!!! Attention! Files can be decrypted! DO NOT restart the system !!! I recommend getting help with this link to Michael Gillespie >>
Read to links: Tweet on Twitter + Tweet ID Ransomware (ID as Vendetta) Write-up, Topic of Support *
Thanks: Michael Gillespie, MalwareHunterTeam Andrew Ivanov * *
© Amigo-A (Andrew Ivanov): All blog articles.
