Scarab-Zzz

Scarab-Zzz Ransomware

(шифровальщик-вымогатель)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в ~1 BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Написан на Delphi. 

© Генеалогия: Scarab >> другие Scarab-варианты > Scarab-ZZZ

Это изображение — логотип статьи. Изображает скарабея с Zzz.

This image is the logo of the article. It depicts a scarab with Zzz.

К зашифрованным файлам добавляется расширение: .zzzzzzzz
Сами файлы переименовываются с помощью Base64. 

Пример зашифрованного файла: 
7dmdXPFuP4Ld0NHo1XDt5mzldFSRli5Pv5I6j+Uj3xCAoeYDgv=I5ybqWfun+OeU05BYOEi3wDOi6OlXD9k5X6pAP1Ta6w530hKZUVv4.zzzzzzzz

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на первую половину января 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: HOW TO RECOVER ENCRYPTED FILES.TXT

Содержание записки о выкупе:
---= ^_^ Your files are now encrypted!! ^_^ =--- 
Attention!   
All your files, documents, photos, databases and other important files are encrypted 
The only method of recovering files is to purchase an unique private decryptor. Only we can give you this decryptor and only we can recover your files.
IN ORDER TO PREVENT DATA DAMAGE:
 * DO NOT MODIFY ENCRYPTED FILES
 * DO NOT CHANGE DATA BELOW
 * Do not rename encrypted files. 
 * Do not try to decrypt your data using third party software, it may cause permanent data loss.  
 * Decryption of your files with the help of third parties may cause increased price  
   (they add their fee to our) or you can become a victim of a scam.
Now you should send us email with your key identifier and version.
This email will be as confirmation you are ready to pay for decryption key.
You have to pay for decryption in Bitcoins or Dash. The price depends on how fast you write to us.
After payment we will send you the decryption tool that will decrypt all your files.
If the payment isn't made with in 5 days the cost of decrypting files will be doubled 
We can give you free decryption as guarantee!
Before paying you can send us up to 3 files for free decryption.
The total size of files must be less than 100kb (non archived), and files should not contain valuable information (databases, backups, large excel sheets, etc.).
You can contact us in these email address: ----- rohitramses@protonmail.com ---or--- rohitramses@tutanota.com ------
If you don't get a reply or if the email dies, then contact us using Bitmessage.
Download it form here: https://bitmessage.org/wiki/Main_Page
Run it, click New Identity and then send us a message at BM-2cSzfawmdGKeT8ny99qtMeiGb27TcVBJXz
I don't have Bitcoin (BTC) or DASH (DSH). How can I make the payment?
 * The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price: 
   https://localbitcoins.com/buy_bitcoins 
 * Also you can find other places to buy Bitcoins and beginners guide here:   
   http://www.coindesk.com/information/how-can-i-buy-bitcoins 
 * https://buy.bitcoin.com/
 * https://coinmonitor.io/en/
 * https://coinmama.com/
 * https://changelly.com/
 * https://payeer.com/
 * https://cex.io/
Version: 1.1
Your Key Indentifier:
+4IAAAAAAACqJ***29gER3Q

Перевод записки на русский язык:
--- = ^ _ ^ Ваши файлы теперь зашифрованы !! ^ _ ^ = ---
Внимание!
Все ваши файлы, документы, фотографии, базы данных и другие важные файлы зашифрованы
Единственный способ восстановления файлов - это покупка уникального частного дешифровщика. Только мы можем дать вам этот дешифровщик, и только мы можем восстановить ваши файлы.
Для того, чтобы предотвратить повреждение данных:
 * НЕ ИЗМЕНЯЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ
 * НЕ ИЗМЕНЯЙТЕ ДАННЫЕ НИЖЕ
 * Не переименовывайте зашифрованные файлы.
 * Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
 * Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены
   (они добавляют свой гонорар к нашему), или вы можете стать жертвой мошенничества.
Теперь вы должны отправить нам email с вашим ключом идентификатором и версией.
Это письмо будет подтверждением того, что вы готовы заплатить за ключ дешифровки.
Вы должны заплатить за дешифрование в Биткоинах или Dash. Цена зависит от того, как быстро вы напишите нам.
После оплаты мы вышлем вам инструмент дешифрования, который расшифрует все ваши файлы.
Если оплата не будет произведена в течение 5 дней, стоимость дешифровки файлов будет удвоена
Мы можем дать вам бесплатное дешифрование в качестве гарантии!
Перед оплатой вы можете отправить нам до 3 файлов для бесплатной дешифровки.
Общий размер файлов должен быть менее 100 КБ (не в архиве), и файлы не должны содержать ценную информацию (базы данных, резервные копии, большие таблицы Excel и т. д.).
Вы можете связаться с нами по этому адресу email: ----- rohitramses@protonmail.com --- или --- rohitramses@tutanota.com ------
Если вы не получили ответа или письмо не работает, свяжитесь с нами, используя Bitmessage.
Загрузите отсюда: https://bitmessage.org/wiki/Main_Page
Запустите его, нажмите New Identity и отправьте нам сообщение по адресу BM-2cSzfawmdGKeT8ny99qtMeiGb27TcVBJXz
У меня нет биткоинов (BTC) или DASH (DSH). Как я могу сделать платеж?
 * Самый простой способ купить биткоины - это сайт LocalBitcoins. Вы должны зарегистрироваться, нажмите 'Buy bitcoins' и выберите продавца по способу оплаты и цене:
   https://localbitcoins.com/buy_bitcoins
 * Также вы можете найти другие места, чтобы купить биткоины и руководство для начинающих здесь:
   http://www.coindesk.com/information/how-can-i-buy-bitcoins
 * https://buy.bitcoin.com/
 * https://coinmonitor.io/en/
 * https://coinmama.com/
 * https://changelly.com/
 * https://payeer.com/
 * https://cex.io/
Версия: 1.1
Ваш ключ идентификатор:
+ 4IAAAAAAACqJ *** 29gER3Q

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HOW TO RECOVER ENCRYPTED FILES.TXT
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: rohitramses@protonmail.com
rohitramses@tutanota.com
BM-2cSzfawmdGKeT8ny99qtMeiGb27TcVBJXz
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid анализ >>
𝚺  VirusTotal анализ >>
🐞 Intezer анализ >>
Ⓥ VirusBay образец >>
ⴵ  VMRay анализ >>
ᕒ  ANY.RUN анализ >>
👽 AlienVault анализ >>
🔃 CAPE Sandbox анализ >>
⨇ MalShare анализ >>
⟲ JOE Sandbox анализ >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

Scarab Family (семейство Scarab):
Scarab (ScarabLocker) - июнь-август 2017, ноябрь 2017
Scarab-Scorpio (Scorpio) - июль 2017
Scarab-Jackie - октябрь 2017
Scarab-Russian (Scarabey) - декабрь 2017
Scarab-Decrypts - март 2018
Scarab-Crypto - март 2018
Scarab-Amnesia - март 2018
Scarab-Please - март 2018
Scarab-XTBL - апрель 2018
Scarab-Oblivion - апрель 2018
Scarab-Horsia - май 2018
Scarab-Walker - май 2018
Scarab-Osk - май 2018
Scarab-Rebus - май 2018
Scarab-DiskDoctor - июнь 2018
Scarab-Danger - июнь 2018
Scarab-Crypt000 - июнь 2018
Scarab-Bitcoin - июнь 2018
Scarab-Bomber - июнь 2018
Scarab-Omerta - июнь-июль 2018
Scarab-Bin - июль 2018
Scarab-Recovery - июль 2018
Scarab-Turkish - июль 2018
Scarab-Barracuda - июль 2018
Scarab-CyberGod - август 2018
Scarab-Enter - ноябрь 2018
Scarab-Aztec (Pizza) - декабь 2018
Scarab-Zzz - январь 2019
Scarab-Crash - январь 2019
Scarab-Gefest - январь 2019
Scarab-Artemy - февраль 2019
Scarab-Kitty - март 2019
Scarab-Monster - апрель 2019
и другие...

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Рекомендую обратиться по этой ссылке к Emmanuel_ADC-Soft >>
---
Attention!
Files can be decrypted!
I recommend getting help with this link to Emmanuel_ADC-Soft >>

 Read to links: 
 Tweet on Twitter + myTweet
 ID Ransomware (ID as Scarab)
 Write-up, Topic of Support, General Topic of Support
 * 

 Thanks: 
 Emmanuel_ADC-Soft, quietman7, Michael Gillespie
 Andrew Ivanov
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.