Gerber

Gerber Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем требует написать на email вымогателя, чтобы узнать, как вернуть файлы. Оригинальное название: Gerber. На файле написано: Gerber1.exe. Написан на Delphi. 

Обнаружения:
DrWeb -> Trojan.Encoder.26877
BitDefender -> Trojan.GenericKD.31399828
ALYac -> Trojan.Ransom.Gerber
Avira (no cloud) -> DR/Delphi.Gen
ESET-NOD32 -> A Variant Of Win32/Filecoder.Gerber.A
Malwarebytes -> Ransom.Cerber
McAfee -> Ransom-Gerber!AB914E1DF490
Qihoo-360 -> Win32/Trojan.Ransom.b44
Rising -> Ransom.Agent!8.6B7 (TFE:5:***
Symantec -> Trojan Horse
Tencent -> Win32.Trojan.Raas.Auto
TrendMicro -> Ransom.Win32.GERBER.THABAOAH
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: ??? >> Gerber

Изображение — логотип статьи

К зашифрованным файлам добавляются расширения: 
.X76LR
.<random>


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образцы этого крипто-вымогателя были обнаружены в марте 2019 г. Нет данных о распространении и пострадавших, возможно, это всего лишь тестовые, экспериментальные образцы. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: DECRYPT.txt

Содержание записки о выкупе:
Sorry, your computer was blocked by Gerber Ransomware 1.0.
If you wants to restore, follow the steps:
(You can have a mail and file Decrypt.TXT)
1. Send to the mail: sobachka_thaabah@india.com file: Decrypt.TXT
2. Follow the message-instruction
3. Get guarantees
4. Decrypt files
Personal id:61 64 6D 69 6E 00 7C 61 63 5D 6F 75 58 78 6C 42 46 67 4A 66 5B 65 76 2E 42 35 79 5A 5B 31 77 6D 79 49 73 39 75 4A 6C 7B 76 35 2B 4B 7D 39 62 6B 6B 4C 62 52 61 35 57 35 30 50 70 59 52 3A 56 23 73 59 76 67 35 4B 7D 4C 51 3A 59 7A 61 30 23 35 33 6F 6B 2E 36 52 5D 5A 76 67 55 75 7B 6C 75 4F 2D 6D 6C 74 6E 51 4B 76 6C 54 32 33 66 66 65 68 36 37 43 54 47 32 4B 7A 38 38 6B 67 65 65 6F 58 71 51 73 42 39 78 78 7C 58 59 36 4C 52 

Перевод записки на русский язык:
К сожалению, ваш компьютер блокирован Gerber Ransomware 1.0.
Если вы хотите восстановить, выполните следующие действия:
(Вы можете почту и файл Decrypt.TXT)
1. Отправьте на почту: sobachka_thaabah@india.com файл: Decrypt.TXT
2. Следуйте сообщению-инструкции
3. Получите гарантии
4. Расшифровать файлы.
Персональный id: 61 64 6D 69 6E 00 7C 61 63 5D 6F 75 58 78 6C 42 46 67 4A 66 5B 65 76 2E 42 35 79 5A 5B 31 77 6D 79 49 73 39 75 4A 6C 7B 76 35 2B 4B 7D 39 62 6B 6B 4C 62 52 61 35 57 35 30 50 70 59 52 3A 56 23 73 59 76 67 35 4B 7D 4C 51 3A 59 7A 61 30 23 35 33 6F 6B 2E 36 52 5D 5A 76 67 55 75 7B 6C 75 4F 2D 6D 6C 74 6E 51 4B 76 6C 54 32 33 66 66 65 68 36 37 43 54 47 32 4B 7A 38 38 6B 67 65 65 6F 58 71 51 73 42 39 78 78 7C 58 59 36 4C 52

Есть еще сообщение с текстом:
Your files have been encrypted with IDEA and RC5.

Также используется изображение, заменяющее обои Рабочего стола и экран блокировки с тем же текстом. В работе имеются ошибки. Кроме того зачем-то шифруется файл записки. 

 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 




Вредоносные действия: 
Записывает файл в папку автозагрузки Word
Записывает в файл начального меню
Изменяет файлы в папке расширения Google Chrome и читает куки-файлы в этом браузере
Читает куки Mozilla Firefox
Действия похожи на кражу личных данных
Создает файлы в каталоге пользователя
Записывает в файл desktop.ini (может использоваться для маскировки папок)

Список файловых расширений, подвергающихся шифрованию:
Шифрует файлы только на диске "D". 
Это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Gerber1.exe 
Gerber.exe
EXEFactory3.77.exe
DECRYPT.txt - название файла с требованием выкупа
DECRYPT.txt.XY6LR - зашифрованная записка
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: sobachka_thaabah@india.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>  HA>
𝚺  VirusTotal analysis >>  VT>
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>  AR>  AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Версия 3.0
Email: gerasiy.kerasinov@yandex.com

 

Версия 5.0
Email: hoster@420blaze.it

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 🎥 Video review >>

 - 

 Thanks: 
 GrujaRS, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.