вторник, 15 января 2019 г.

BigBobRoss, Cheetah

BigBobRoss Ransomware

Obfuscated Ransomware

Cheetah Ransomware 

(шифровальщик-вымогатель) (первоисточник)


Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128 (режим ECB), а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: указано в логине email. Написан на C++ с использованием QT

Обнаружения:
DrWeb -> Trojan.Encoder.27160, Trojan.Encoder.27483, Trojan.Encoder.28044 
BitDefender -> Trojan.GenericKD.31532089, Trojan.GenericKD.31538602, Gen:Variant.Midie.60882, Gen:Variant.Ransom.1299

© Генеалогия: выясняется, явное родство с кем-то не доказано.

К зашифрованным файлам добавляется расширение: .obfuscated

Некоторые варианты добавляют ID к имени файла (см. образцы после статьи, в обновлениях). 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя был найден в середине января 2019 г. Штамп времени 12 января 2019. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Первые пострадавшие из Молдовы. 

Записка с требованием выкупа называется: Read Me.txt

Содержание записки о выкупе:
Hello, dear friend!
=================================================
1-   [All your files have been ENCRYPTED!]
Your files are NOT damaged! Your files are modified only.
The only way to decrypt your files is to receive the decryption program.
your files can not be decrypted without the special program we made it for your computer.
=================================================
2-  [ HOW TO RETURN FILES? ]
To receive the decryption program Write to our email "BigBobRoss@computer4u.com"
and tell us your unique ID
=================================================
3-  [ FREE DECRYPTION! ]
Free decryption as guarantee.
We guarantee the receipt of the decryption program after payment.
To believe, you can give us 1 file that must be less than 1MB and we decrypt it for free.
File should not be important to you! databases, backups, large excel sheets, etc.
=================================================
4-  [ Instruction ]
the easiest way to buy bitcoins is LocalBitcoins site. you have to register, click "buy bitcoins"
and select the seller by payment method and price.
https://localbitcoins.com/buy_bitcoins
=================================================
CAUTION!
please do not change the name of files or file extension if your files are important to you!
Your unique ID : *** [8 uppercase hex]

Перевод записки на русский язык:
Привет, дорогой друг!
=================================================
1- [Все ваши файлы зашифрованы!]
Ваши файлы НЕ повреждены! Ваши файлы только изменены.
Единственный способ расшифровать ваши файлы - это получить программу расшифровки.
Ваши файлы не могут быть расшифрованы без специальной программы, которую мы сделали для вашего компьютера.
=================================================
2- [КАК ВЕРНУТЬ ФАЙЛЫ? ]
Чтобы получить программу дешифрования, напишите на наш email "BigBobRoss@computer4u.com"
и сообщите нам свой уникальный ID
=================================================
3- [БЕСПЛАТНОЕ ДЕШИФРОВАНИЕ! ]
Бесплатная расшифровка как гарантия.
Мы гарантируем получение программы расшифровки после оплаты.
Чтобы поверить, вы можете дать нам 1 файл, который должен быть менее 1 МБ, и мы расшифруем его бесплатно.
Файл не должен быть важен для вас! базы данных, резервные копии, таблицы Excel и т.д.
=================================================
4- [Инструкция]
Самый простой способ купить биткоины - это сайт LocalBitcoins. Вы должны зарегистрироваться, нажать "buy bitcoins"
и выберите продавца по способу оплаты и цене.
https://localbitcoins.com/buy_bitcoins
=================================================
ВНИМАНИЕ!
пожалуйста, не меняйте имя файла или расширение файла, если ваши файлы важны для вас!
Ваш уникальный ID [8 знаков hex]



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Read Me.txt
test.exe, bedoneupx.exe
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: BigBobRoss@computer4u.com
Big8obRoss@protonmail.com
BTC: ***
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Hybrid анализ >> HA>>
𝚺  VirusTotal анализ >> VT>> VT>>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ  VMRay анализ >>
ᕒ  ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===


Обновление от 31 января 2018:
Пост в Твиттере >>
Расширение: .obfuscated
К зашифрованным файлам теперь добавляется приставка: 
[id=<id>] или [id=<XXXXXXXX>]
Результаты анализов: VT
Файлы можно дешифровать!

Обновление от 3 марта 2019:
Расширение: .obfuscated
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Email: info@bigbobross.website, Big8obRoss@protonmail.com
Telegram: https://t.me/BigBobRoss
Записка: Read Me.txt
➤ Содержание записки:
Результаты анализов: VT + VMR
Обнаружения изменились: 
DrWeb ->Trojan.Encoder.27483 
BitDefender -> Gen:Variant.Ransom.1299
Файлы можно дешифровать!


Обновления от 4 марта 2019:
Пост в Твиттере >>
Расширение: .encryptedALL
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=6607B764]IMG_0001.png.djvu
Записка: Read Me.txt
Email: BigBobRoss@protonmail.com
Файлы можно дешифровать!

Обновления от 25 марта 2019:
Пост в Твиттере >>
Расширение: .djvu
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=B0123456]AL92462.png.djvu
Записка: Read Me.txt
Email: RobSmithMba@protonmail.com
support@robsmithmba.com
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED -----------------------------------------------
Your personal ID:[redacted 8 uppercase hex]
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file less than 1Mb for free. File must not contain valuable information
Don't try to use third-party decrypt tools because it will destroy your files.
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
RobSmithMba@protonmail.com
Reserve e-mail address to contact us:
support@robsmithmba.com


Обновление от 24 апреля 2019:
Пост на форуме >>
Расширение: .djvu
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=B0923449]83782.pdf.djvu
Записка: Read Me.txt
Email: ContactReception@protonmail.com
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 
Your personal ID:B4539***
Don't worry, you can return all your files!
All your files documents, photos, databases and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees do we give to you?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file less than 1Mb for free. File must not contain valuable information
Don't try to use third-party decrypt tools because it will destroy your files.
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.
---------------------------------------------------------------------------------------------------------------------------
To get this software you need write on our e-mail:
ContactReception@protonmail.com




Обновление от 24 апреля 2019:
Файлы можно дешифровать!
Пост на форуме >>
Расширение: .cheetah
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=0C13A59E]Filename.doc.cheetah
Записка: How to recover your files.txt
Ярлык на онлайн-видео: How to recover your files (.url)
URL-адрес на ярлыке: https://www.youtube.com/watch?v=xKIIFlqz4sI

Email: Computer.Repair.Technician@protonmail.com
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 
Your unique ID:XXXXXXXX
Hello!
All your files documents, photos, databases and other files are encrypted with strongest encryption!
Dont worry, you can return all your files!
To receive the decryption tool contact us and tell us your unique ID
If you want your files You have to pay for decryption in Bitcoins
The price depends on how fast you write to us.
========================================================================================================================================
Free decryption as guarantee!
Send me your unique ID and 1-2 small encrypted files  The total size of files must be less than 10Mb non archived for free decryption. 
After payment we will send you the decryption tool that will decrypt all your files. 
========================================================================================================================================
You can buy bitcoin from here:
https://localbitcoins.com/buy_bitcoins
https://www.coinmama.com/bitcoin
https://www.coinbase.com/buy-bitcoin
========================================================================================================================================
CAUTION!
1-Don't try to use third-party decrypt tools because it will destroy your files.
2-Please do not change the name of files or file extension if your files are important to you!
========================================================================================================================================
If you want return all of your files write on our e-mail: 
Computer.Repair.Technician@protonmail.com
---
Результаты анализов: VT + IA + HA



Обновление от 15 мая 2019:
Топик на форуме >>
Пост в Твиттере >>
Расширение: .cheetah
Приставка к файлам: [id=<id>] или [id=<XXXXXXXX>]
Пример зашифрованного файла: [id=70A6BXXX]Filename.doc.cheetah
Записка: Encrypt Message.txt
Email: WilliGarcia@protonmail.com
Telegram ID: @WilliGarcia
Результаты анализов: VT
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 
Your unique ID:70A6BXXX
Hello!
All your files documents, photos, databases and other files are encrypted with strongest encryption!
Dont worry, you can return all your files!
To receive the decryption tool contact us and tell us your unique ID
If you want your files You have to pay for decryption in Bitcoins
The price depends on how fast you write to us.
=============================================================================
Free decryption as guarantee!
Send me your unique ID and 1-2 small encrypted files The total size of files must be less than 10Mb non archived for free decryption. 
After payment we will send you the decryption tool that will decrypt all your files. 
=============================================================================
You can buy bitcoin from here:
https://localbitcoins.com/buy_bitcoins
https://www.coinmama.com/bitcoin
https://www.coinbase.com/buy-bitcoin
=============================================================================
CAUTION!
1-Don't try to use third-party decrypt tools because it will destroy your files.
2-Please do not change the name of files or file extension if your files are important to you!
=============================================================================
If you want return all of your files write on our e-mail: 
Email : WilliGarcia@protonmail.com
Telegram ID: @WilliGarcia


Обновление от 19-20 июля 2019:
Расширение: .cheetah
Составное расширение: [id=9876C123]JEDIMAR.pdf.cheetah
Записка: How to recover your files.txt
URL-файл: How to recover your files.url
Ссылка из URL-файла: https://www.youtube.com/watch?v=xKIIFlqz4sI/
Email: Philip.BTC@protonmail.com
➤ Содержание записки:
---------------------------------------------- ALL YOUR FILES ARE ENCRYPTED ----------------------------------------------- 
Your unique ID:9876C123
Hello!
All your files documents, photos, databases and other files are encrypted with strongest encryption!
Dont worry, you can return all your files!
To receive the decryption tool contact us and tell us your unique ID
If you want your files You have to pay for decryption in Bitcoins
The price depends on how fast you write to us.
========================================================================================================================================
Free decryption as guarantee!
Send me your unique ID and 1-2 small encrypted files The total size of files must be less than 10Mb non archived for free decryption. 
After payment we will send you the decryption tool that will decrypt all your files. 
========================================================================================================================================
You can buy bitcoin from here:
https://localbitcoins.com/buy_bitcoins
https://www.coinmama.com/bitcoin
https://www.coinbase.com/buy-bitcoin
========================================================================================================================================
CAUTION!
1-Don't try to use third-party decrypt tools because it will destroy your files.
2-Please do not change the name of files or file extension if your files are important to you!
========================================================================================================================================
If you want return all of your files write on our e-mail: 
Philip.BTC@protonmail.com






=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Внимание!
Файлы можно дешифровать!
Рекомендую обратиться по этой ссылке к Demonslay335 >>
***
Или используйте готовый дешифровщик от Emsisoft >>
***
Или используйте готовый дешифровщик от Avast >>
К сожалению, более новые верии с расширением .cheetah не расшифрованы.
Дешифровщики Emsisoft и Avast с новыми версиями BigBobRoss-Cheetah не помогут. 
Специалисты изучают все новые изменения в Ransomware и продолжают работу. 
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (1st ID as Obfuscated, new ID as BigBobRoss)
 Write-up, 1-Topic of Support, 2-Topic of Support
 * 
 Thanks: 
 Michael Gillespie, Jakub Kroustek, quietman7, Fabian Wosar
 Andrew Ivanov (author)
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано. Чтобы написать комментарий, вы должны иметь аккаунт Google.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана. Каб напісаць каментар, вы павінны мець аккаунт Google.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано. Щоб написати коментар, ви повинні мати акаунт Google.

ПАЖЊА!!!
Нови коментари су модерирани. Све, осим спама, ускоро ће бити објављено. Да бисте напишете коментар, морате да имате Google рачун.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады. Пікір жазу үшін сізге google тіркелгісі болуы керек.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted. To write here a comment, you must have a Google account.

BEACHTUNG!!!
Ihr neuer Kommentar wird moderiert. Wiederhole es bitte nicht. Spam wird gelöscht. Um hier einen Kommentar zu schreiben, benötigen Sie ein Google-Konto.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

এটা পড়ুন !!!
আপনার নতুন মন্তব্য সংযত করা হবে। এটা পুনরাবৃত্তি করবেন না দয়া করে। স্প্যাম মুছে ফেলা হবে।

انتباه!
سيتم الإشراف على تعليقاتك الجديدة. لا تكررها من فضلك. سيتم حذف الرسائل غير المرغوب فيها.

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Получать письма / Follow by E-mail

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton