Project57

Project57 Ransomware

(шифровальщик-вымогатель)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в 0 BTC, чтобы вернуть файлы. Оригинальное название: Project57 или другое. На файле написано: Project57.exe.

© Генеалогия: предыдущие проекты >> Project57

К зашифрованным файлам добавляется расширение: .костя баранин
Фактически используется .[ti_kozel@lashbania.tv].костя баранин

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец декабря 2018 г. Ориентирован на русскоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются:
DECRYPT.HTML
DECRYPT.TXT

Содержание HTML-записки:
Файлы зашифрованы ,что делать?
К вашим файлам был потерян доступ и они больше не читаемы. Воу-воу постойте ка, они же зашифрованы, и они не читаются, но это можно исправить.
Что делать?
Для доступа к ним оплатите 0 биткойнов на кошелек который пришлем если Вы напишете нам: ti_kozel@lashbania.tv. Не забудьте идентификатор: eNqrLCotSMsLrQlw1q2EMi3NjM1BwMTc2NzEzMLcwszIzNTMwswcSBqZmZlZmlmaWwL5Fuam5nlANUbmBuYAAasS3w==
Информация
Мы в любом сдучае не советуем вам обращатся в антивирусные компании в надежду на помощь. ОНИ ВАМ НИ С ЧЕМ НЕ ПОМОГУТ! Надеюсь ,мы все вам сказали ,удачи!

Содержание TXT-записки:
Файлы зашифрованы ,что делать?
К вашим файлам был потерян доступ и они больше не читаемы. 
Воу-воу постойте ка, они же зашифрованы, и они не читаются, но это можно исправить.
Что делать?
Для доступа к ним оплатите 0 биткойнов на кошелек который пришлем если Вы напишете нам: ti_kozel@lashbania.tv. 
Не забудьте идентификатор: eNqrLCotSMsLrQlw1q2EMi3NjM1BwMTc2NzEzMLcwszIzNTMwswcSBqZmZlZmlmaWwL5Fuam5nlANUbmBuYAAasS3w==
Мы в любом сдучае не советуем вам обращатся в антивирусные компании в надежду на помощь. 
ОНИ ВАМ НИ С ЧЕМ НЕ ПОМОГУТ! Надеюсь ,мы все вам сказали ,удачи!

Также используется экран блокировки, в котором отображается список зашифрованных файлов и сначала виден только текст до идентификатора и сам идентификатор. 

При двойном клике по серому фону и 2 раза по заголовку "Ваши файлы заблокированы" появляется текст, направленный против автора GandCrab. 
Его же можно увидеть, если заглянуть в код веб-файла DECRYPT.HTML (строка 16). 

Грамотность автора текстов просто никакая. Ошибки почти в каждом предложении и друг на друге. Видимо тот, кто писал текст записки, "кодить и шкодить начал одновременно". Хотя, возможно, что эти ошибки сделаны намеренно. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Используется Delphi и PHP интерпретатор. Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
DECRYPT.HTML
DECRYPT.TXT
php5ts.dll

Sample.exe
Project57.exe
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: ti_kozel@lashbania.tv
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>  VT>> VT>> VT>> VT>>
🐞 Intezer анализ >>  IA>>
Ⓥ VirusBay образец >>
ⴵ  VMRay анализ >>
ᕒ  ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet 
 ID Ransomware (ID as Project57)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, GrujaRS, Petrovic
 Andrew Ivanov
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.