Marozka

Marozka Ransomware

(шифровальщик-вымогатель)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (режим CBC), а затем требует выкуп в $100 в BTC, чтобы вернуть файлы. Оригинальное название: Marozka. На файле написано: Marozka.exe.

© Генеалогия: HiddenTear >> Marozka

К зашифрованным файлам добавляется расширение: .Marozka

Этимология названия:
На сайте вымогателей написано, что это якобы сделали совместно российские и американские хакеры. В такой тандем не верится хотя бы потому, что в названии Marozka сделано сразу две ошибки. Правильный вариант, который бы написали даже самые малограмотные хакеры, назывался бы, как оригинальный кинофильм - "Морозко". Трудно найти российского и постсоветского человека, который сделал бы в названии сразу две ошибки. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец марта 2019 г. Штамп времени: 27 марта 2019. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: HOW TO DECRYPT FILES.txt

Содержание записки о выкупе:
All your information (documents, databases, backups and other files) this computer was encrypted using the most cryptographic algorithms.
All encrypted files are formatted .Marozka.
This form files '.Marozka' is a joint development ENGLISH and RUSSIAN Hackers.
You can only recover files using a decryptor and password, which, in turn, only we know.
It is impossible to pick it up.
Reinstalling the OS will not change anything.
No system administrator in the world can solve this problem without knowing the password
In no case do not modify the files! But if you want, then make a backup.
Drop us an email at the address silena.berillo@gmail.com
if within 12 hours you do not respond to hto2018@yandex.ru for further insertions
You have 24 hours left. If they are not decrypted then after 24 hours they will be removed!!!
You can also decrypt files automatically on our website
 https://proverka.host

Перевод записки на русский язык (грамотность оригинала!):
Вся ваша информация (документы, базы данных, резервные копии и другие файлы) этого компьютера была зашифрована с самыми криптографическими алгоритмами.
Все зашифрованные файлы отформатированы .Marozka.
Эта форма файлов '.Marozka* является совместной разработкой ENGLISH и RUSSIAN Hackers.
Вы можете восстановить файлы только с помощью расшифровщика и пароля, которые, в свою очередь, знаем только мы.
Это невозможно подобрать.
Переустановка ОС ничего не изменит.
Ни один системный администратор в мире не сможет решить эту проблему, не зная пароля
Ни в коем случае не изменяйте файлы! Но если хочешь, то сделай бэкап.
Напишите нам на email по адресу silena.berillo@gmail.com
если в течение 12 часов вы не ответите, то на hto2018@yandex.ru для дальнейших вставок
У вас осталось 24 часа. Если они не расшифрованы, то через 24 часа они будут удалены !!!
Вы также можете расшифровать файлы автоматически на нашем сайте
https://proverka.host

Другим информатором жертвы является изображение с текстом, заменяющее обои Рабочего стола. 

Рабочий стол после атаки Marozka Ransomware

Оригинальное изображение Marozka.jpg

Скриншоты с сайта MAROZKA-DECRYPTOR, где вымогатели предлагают купить дешифровщик, показывают напоминание вымогателей о том, что купить дешифровщик (декриптор) нужно в течение 24 часов. 

Содержание текст с этого сайта:
MAROZKA-DECRYPTOR
CAREFULLY READ THE INSTRUCTIONS BELOW. DECRYPTION COST IS $ 100.
YOU NEED TO HURRY
LET ME REMIND YOU HAVE 24 HOURS
CHOOSE ONE OF THE PROPOSED DECRYPTION METHODS 1.WRITE TO US 2.OR MAKE THE PAYMENT YOURSELF. INSTRUCTIONS BELOW.
Enter your name
Enter your E-mail
Computer name (C :\\'User'\)
 WRITE TO US
MAROZKA PROGRAM WAS DEVELOPED 
JOINTLY BY RUSSIAN AND AMERICAN DEVELOPERS
Only our program can decrypt files. 
Any independent attempts to decrypt files will delete them once and for all.
---
PAYMENT
Make a payment of 100 US dollars.
On the bitcoin wallet 1NKtjyNax9cQuMYxLXfHWEKwRHac6gTeHc
Then you will be given a program and a key.
---
PAYMENT PROCEDURE
When paying in the form of a comment, enter your email address (email), after successful payment the program and password will be sent to decrypt.
---
FILE DECRYPTION
Specify the received password after payment and press the button to decrypt the files. Then all files are decrypted.
---

You can also buy the source code of the programs by writing to us.


Сайт вымогателей hide-hide-hide.000webhostapp.com размещен на временном хостинге. Туда можно зайти и просмотреть все папки и файлы. 

 

 

Скриншоты с временного сайта вымогателей

Технические детали

Распространяется как фальшивый PDF-файл. Используются два сайта, один расположен на временном хостинге, другой специально зарегистрирован. 

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
.001, .7-zip, .ace, .apk, .arj, .asp, .aspx, .avi, .bmp, .bz2, .c, .cab, .contact, .core, .cpp, .crproj, .cs, .csv, .dat, .db, .dll, .doc, .docx, .dwg, .exe, .f3d, .gzip, .htm, .html, .ico, .iso, .jar, .jpg, .lnk, .lzh, .mdb, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .pas, .pdb, .pdf, .php, .png, .ppt, .pptx, .psd, .py, .rar, .rtf, .settings, .sln, .sql, .tar, .torrent, .txt, .uue, .xls, .xlsx, .xml, .xz, .z, .zip (67 расширений).
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы контактов, ярлыки и пр.

Целевые директории для шифрования:
"Desktop"; "Links"; "Contacts"; "Documents"; "Downloads"; "Pictures"; "Music";  "OneDrive"; "Saved Games";  "Favorites"; "Searches"; "Videos"

Файлы, связанные с этим Ransomware:
Marozka.zip - файл находится на сайте
Marozka.exe - находится внутри архива
Marozka.jpg - загружается и устанавливается с сайта
HOW TO DECRYPT FILES.txt - записка о выкупе
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL декриптора: xxxxs://proverka.host/
URL вымогателей: xxxxs://hide-hide-hide.000webhostapp.com
URL изображения: xxxxs://hide-hide-hide.000webhostapp.com/hide/Marozka.jpg
Email: silena.berillo@gmail.com, hto2018@yandex.ru
BTC: 1NKtjyNax9cQuMYxLXfHWEKwRHac6gTeHc
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT>>
🐞 Intezer analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
ᕒ  ANY.RUN analysis >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 🎥 Video review >>

 - Видеоролик от CyberSecurity GrujaRS

 Thanks: 
 CyberSecurity GrujaRS
 Andrew Ivanov (author)
 Thyrex
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.

UNNAM3D

UNNAM3D Ransomware

(шифровальщик-вымогатель, rar-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель захватывает файлы пользователей и помещает их в защищенные паролем RAR-архивы, что обеспечивает им защищенность шифрованием AES, а затем требует выкуп в виде кода подарочной карты Amazon GiftCard на сумму $50, чтобы получить пароль архива и вернуть файлы. Оригинальное название: Unnam3d R@nsomeware. На файле написано: UNNAM3D - RANSM.exe. Разработчик: Unname3d в Discord. он же Joshhh b в YouTube. 

© Генеалогия: выясняется, явное родство с кем-то не доказано.

К заблокированным файлам добавляется расширение: .rar


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину марта 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки:

Содержание записки о выкупе:
-YOUR FILES HAVE BEEN LOCKED-
What Happend?
All your personal files have been locked and you need to pay a ransom to get them back. You will have 24 hours to pay nor the password will be deleted of our servers making it impossible to get your files back.
How do i pay?
You will need to send an message to the below discord with a $50 amazon giftcard code. Then you will shortley get an message back with  a password to unlock your files.
Discord: UNNAM3D#6666

Перевод записки на русский язык:
- ВАШИ ФАЙЛЫ ЗАБЛОКИРОВАНЫ-
Что случилось?
Все ваши личные файлы были заблокированы, и вам нужно заплатить выкуп, чтобы вернуть их. У вас будет 24 часа на оплату, а пароль с наших серверов не будет удален, что сделает невозможным получение ваших файлов обратно.
Как мне оплатить?
Вам нужно будет отправить сообщение на discord ниже с кодом подарочной карты Amazon на $50. Затем вы получите сообщение с паролем, чтобы разблокировать ваши файлы.
Discord: UNNAM3D#6666

Технические детали

Распространяется с помощью email-спама и вредоносных вложений. Рассылаемый email-спам называется электронной почтой от Adobe, в которой говорится, что Adobe Flash Player получателя устарел и нуждается в обновлении. Эти письма содержат ссылку на поддельное обновление Adobe Flash Player, которое устанавливает UNNAM3D Ransomware.

После запуска в системе UNNAM3D извлекает исполняемый файл WinRar.exe в папку %Temp% и выполняет команду %Temp%\WinRar.exe -m -r -p[password] [directory], чтобы переместить файлы в указанном каталог к ​​защищенному паролем архиву. 

В ходе этой операции вымогатель переместит файлы из папок "Документы", "Изображения" и "Рабочий стол" в свои собственные RAR-архивы с паролем. 

После завершения появится экран под названием Unnam3d - R@nsomware (см. выше). 

После модификации вполне может изменить метод распространения и начать распространяться с помощью обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.


Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
pictures.rar, documents.rar, desktop.rar - папки с файлами, помещенные в RAR-архив
UNNAM3D - RANSM.exe
winrar.exe - используемая копия архиватора WinRar
wallpaper.png, wallpaper.bmp - изображения, используемые для замены обоев Рабочего стола и пока в экране блокировки
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
%TEMP%\winrar.exe
%TEMP%\wallpaper.png
%TEMP%\wallpaper.bmp
%APPDATA%\winrar\version.dat
%HOMEPATH%\pictures\pictures.rar
%HOMEPATH%\documents\documents.rar
%HOMEPATH%\desktop\desktop.rar
%APPDATA%\winrar\version.dat

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Discord: UNNAM3D#6666
YouTube-URL: xxxxs://www.youtube.com/channel/UC-A0Hd1YtwiVMx33pY7qI8g

См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT>>
🐞 Intezer analysis >>
ⴵ  VMRay analysis >>  VMR>>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
ᕒ  ANY.RUN analysis >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Lawrence Abrams
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

YYYYBJQOQDU

YYYYBJQOQDU Ransomware 

Unnamed Chinese Ransomware 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

© Генеалогия: выясняется, явное родство с кем-то не доказано. Образца нет. 

К зашифрованным файлам добавляется расширение: .YYYYBJQOQDU

Вероятно, его можно записать .<RANDOM{10-12}>

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец марта 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Первые пострадавшие из Китая. 

Записка с требованием выкупа называется: YOUR FILES ARE ENCRYPTED.TXT

Содержание записки о выкупе:
====== Attention! ======
All your files, documents, photos, databases and other important files are encrypted and have the extension: .YYYYBJQOQDU
You are not able to decrypt it by yourself!
The only method of recovering files is to purchase an unique private key. Only we can give you this key and only we can recover your files.
To be sure we have the decryptor and it works you can send an email supportd@tfwno.gf and decrypt one file for free.
But this file should be of not valuable!
Do you really want to restore your files?
Write to email supportd@tfwno.gf
Your personal ID: [10 uppercase hex]
Attention!   
 * Do not rename encrypted files. 
 * Do not try to decrypt your data using third party software, it may cause permanent data loss.  
 * Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Перевод записки на русский язык:
====== Внимание! ======
Все ваши файлы, документы, фото, базы данных и другие важные файлы зашифрованы и имеют расширение: .YYYYBJQOQDU
Вы не можете расшифровать это самостоятельно!
Единственный способ восстановления файлов - это покупка уникального закрытого ключа. Только мы можем дать вам этот ключ, и только мы можем восстановить ваши файлы.
Чтобы убедиться, что у нас есть расшифровщик, и он работает, вы можете отправить письмо на email supportd@tfwno.gf и дешифровать один файл бесплатно.
Но этот файл не должен быть ценным!
Вы действительно хотите восстановить ваши файлы?
Напишите на email supportd@tfwno.gf
Ваш личный ID: [10 заглавных букв]
Внимание!
  * Не переименовывайте зашифрованные файлы.
  * Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
  * Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою плату к нашей), или вы можете стать жертвой мошенничества.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
YOUR FILES ARE ENCRYPTED.TXT
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: supportd@tfwno.gf
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
ᕒ  ANY.RUN analysis >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 15 мая 2019:
Пост в Твиттере >>
Расширение: .<RANDOM{10-12}>
Записка: YOUR FILES ARE ENCRYPTED.TXT
Email: helper@tfwno.gf, helperx@tuta.io

➤ Содержание записки: 
o;? ====== Attention! ======
All your files, documents, photos, databases and other important files are encrypted and have the extension: .OOOKJYHCTVDF
You are not able to decrypt it by yourself!
The only method of recovering files is to purchase an unique private key. Only we can give you this key and only we can recover your files.
To be sure we have the decryptor and it works you can send an email helper@tfwno.gf (reserve helperx@tuta.io) and decrypt one file for free.
But this file should be of not valuable!
Do you really want to restore your files?
Write your rersonal ID to email helper@tfwno.gf
Your personal ID: [redacted 10 uppercase hex]
Attention!  
 * Do not rename encrypted files.
 * Do not try to decrypt your data using third party software, it may cause permanent data loss.  
 * Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

TellYouThePass

Tellyouthepass Ransomware

TellYouThePass Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные серверов и пользователей с помощью AES-256 + RSA-1024 (со слов автора записки), а затем требует выкуп в 0.2 BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано, потому для названия статьи взят логин email вымогателей. На файле написано: Enc.exe или что-то другое. Написан на языке Go. 
---
Обнаружения: 

DrWeb -> Trojan.Encoder.27818

BitDefender -> Trojan.Ransom.Tellpass.A

Emsisoft -> Trojan.Ransom.Tellpass.A (B)

ESET-NOD32 -> Win32/Filecoder.NVA

Kaspersky -> Trojan-Ransom.Win32.Encoder.bwf

Malwarebytes -> Ransom.FileCryptor

Microsoft -> Ransom:Win32/FileCoder.M!MTB

Symantec -> Downloader

Tencent -> Win32.Trojan.Encoder.Wtds

TrendMicro -> Ransom.Win32.BITLOCKED.A

---

© Генеалогия: OpJerusalem, Golden Axe > TellYouThePass 
Родство по коду дешифратора подтверждено сервисом IntezerAnalyze >>

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .locked


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину марта 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: README.html

Оригинальная записка

HTML-код записки 

Содержание записки о выкупе:
I am so sorry ! All your files have been encryptd by RSA-1024 and AES-256 due to a computer security problems.
If you think your data is very important .The only way to decrypt your file is to buy my decrytion tool .
else you can delete your encrypted data or reinstall your system.
Your personid :
P7mDKKBBohurqIDmd6z5OIk6L+HZm/yifu79W8tZJXHvfmcPXiN1N31WHTwnyzdFea***
Decrytion do as follows:
1. if you not own bitcoin,you can buy it online on some websites. like https://localbitcoins.net/ or https://www.coinbase.com/ .
2. send 0.2 btc to my wallet address 1CLWBxbBKddQTUuhsUsn8izq2crUAgGYZ1.
3. send your btc transfer screenshots and your persionid to my email tellyouthepass@protonmail.com . i will send you decrytion tool.
Tips:
1.don't rename your file 
2.you can try some software to decrytion . but finally you will kown it's vain . 
Anything you want to help . please send mail to my email tellyouthepass@protonmail.com.
Have a nice day .

Перевод записки на русский язык (грамота оригинала сохранена):
Мне так жаль ! Все ваши файлы были зашифрованы RSA-1024 и AES-256 из-за проблем с компьютерной безопасностью.
Если вы считаете ваши данные важными. Один способ расшифровать ваш файл - это купить мой дешифратор.
иначе вы можете удалить зашифрованные данные или переустановить систему.
Ваш персон-ID:
P7mDKKBBohurqIDmd6z5OIk6L+HZM/yifu79W8tZJXHvfmcPXiN1N31WHTwnyzdFea ***
Расшифровка делается следующим образом:
1. если у вас нет биткоина, вы можете купить его онлайн на некоторых сайтах. например https://localbitcoins.net/ или https://www.coinbase.com/.
2. Отправьте 0,2 BTC на мой адрес кошелька 1CLWBxbBKddQTUuhsUsn8izq2crUAgGYZ1.
3. присылайте свои скриншоты передачи btc и ваш персон-ID на мой email tellyouthepass@protonmail.com. Я пришлю вам инструмент расшифровки.
Подсказки:
1. не переименовывайте свой файл
2. Вы можете попробовать программу расшифровки. но в итоге вы поймете, это напрасно.
Все, что вы хотите помочь. пожалуйста, отправьте письмо на мой email tellyouthepass@protonmail.com.
Хорошего дня .

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.html
e3.exe
Enc.exe
Dec.exe (decrypt32.exe)
<random>.exe - случайное название

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\AppData\Local\Temp\e3.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Malware-URL: xxxx://193.56.28.203/*** - страна Великобритания
Email: tellyouthepass@protonmail.com
BTC: 1CLWBxbBKddQTUuhsUsn8izq2crUAgGYZ1
1KQasLZTH2cXBx1TMeLrkSJJY1YhkMH7YH
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis на файл e3.exe >>
Ⓗ Hybrid analysis на URL >>
𝚺  VirusTotal analysis на файл e3.exe >>  VT>>
𝚺  VirusTotal analysis на файл decrypt32.exe >>
𝚺  VirusTotal analysis на файл hello.exe >>
🐞 Intezer analysis на файл e3.exe >>
🐞 Intezer analysis на файл decrypt32.exe >>
🐞 Intezer analysis на файл hello.exe >>
ⴵ  VMRay analysis >>  VMR >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
ᕒ  ANY.RUN analysis на файл e3.exe >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>

Некоторые другие более новые образцы можно найти на сайте BA:

https://bazaar.abuse.ch/browse/tag/TellYouThePass/

Степень распространённости: средняя.
Подробные сведения собираются регулярно.

---

=== ДЕШИФРОВЩИК === ORIGINAL DECRYPTOR ===

Дешифратор-1 от вымогателей не может расшифровать зашифрованные файлы. 
Ссылка на VT >>


Дешифратор-2 от вымогателей показывает следующую информацию. 
Ссылка на VT >>

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

TellYouThePass Ransomware for Windows - март 2019

TellYouThePass Ransomware for Linux - декабрь 2021

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 13 июня 2019:
Пост на форуме >>
Расширение: .locked
Записка: README.html
Email: coinmoney@cock.li
BTC: 1Db8Ho7YjSipgzjNcK4bdSGeg12JrnKSSc
➤ Содержание записки:
I am so sorry ! All your files have been encryptd by RSA-1024 and AES-256 due to a computer security problems.
If you think your data is very important .The only way to decrypt your file is to buy my decrytion tool .
else you can delete your encrypted data or reinstall your system.
Your personid :
JwKK1NI3n2G+9Q3ja1sNCFrqLeLeNcRWejGci5d9IRCLIUu4KknNsNVXQ5jVougIXZTAsr***
Decrytion do as follows:
1. if you not own bitcoin,you can buy it online on some websites. like https://localbitcoins.net/ or https://www.coinbase.com/ .
2. send 0.15 btc to my wallet address 1Db8Ho7YjSipgzjNcK4bdSGeg12JrnKSSc.
3. send your btc transfer screenshots and your persionid to my email coinmoney@cock.li . i will send you decrytion tool.
Tips:
1.don't rename your file 
2.you can try some software to decrytion . but finally you will kown it's vain . 
3.if any way can't to contact to me .you can try send me bitcoin and paste your email in the transfer information. i will contact you and send you decrytion tools.
Anything you want to help . please send mail to my email coinmoney@cock.li.
Have a nice day . 

Обновление от 14-16 июня 2019:
Пост в Твиттере >>
Пост на форуме >>
Пост на форуме >>
Расширение: .locked
Записка: README.html
Email: beautifulgirls@youknowmynameisbob.online
BTC: 1qopxAR7BuxnhK7UVFqcJtS2zGWZGWsC2

Обновление от 28 июня 2019:
Пост в Твиттере >>
Расширение: .locked
Записка: README.html
Email: coinmoney@cock.li
Результаты анализов: VT + VT + VT + VMR



Обновление от 22 июля 2019:
Пост в Твиттере >>
Расширение: .locked
Записка: README.html
Email: beautifulgirls@youknowmynameisbob.online
BTC: 1qopxAR7BuxnhK7UVFqcJtS2zGWZGWsC2
Результаты анализов: VT + VMR + AR + IA

Обновление от 14 января 2020:
Пост в Твиттере >>
Расширение: .locked
Записка: README.html
Email: beautifulgirls@youknowmynameisbob.online
Результаты анализов: VT + VMR + IA
Обнаружения: 
DrWeb -> Trojan.Encoder.30554
BitDefender -> Trojan.GenericKD.42227291
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_Encoder.R011C0WAB20
ESET-NOD32 -> A Variant Of Win32/Filecoder.NVA

Обновление от 8 июля 2020:
Пост в Твиттере >>
Пост в Твиттере >>
Расширение: .locked
Записка: README.html
Email: service@goodluckday.xyz
BTC: 1MoP3ngmVFLnwSGjfL7CUfir51zdGFoven
Результаты анализов: VT + IA + HA
➤ Обнаружения: 
DrWeb -> Trojan.Encoder.30554
BitDefender -> Trojan.GenericKD.34128275
ESET-NOD32 -> A Variant Of Win32/Filecoder.NVA
Tencent -> Win32.Trojan.Tellyouthepass.Vwhg
TrendMicro -> Ransom_Crypren.R011C0WG720

Новость от 13 декабря 2021: 

Сообщение >>

Сообщение >>

Статья на сайте BleepingComputer >>

Теперь есть версия для Linux, которая собирает ключи SSH и перемещается по сетям жертв.

Возросшая активность дремавшего больше года TellYouThePass Ransomware была вызвана вымогательской эйфорией по поводу уязвимости Log4Shell, которую теперь используют все, кому не лень, а даже тем, кому было лень проявлять активность, нежась на пляжу под тёплым солнцем, после награбленных миллионов долларов. Следующий график отражает такую возросшую активность. 

Вариант от 13 декабря 2021:

Сообщение >>

Расширение: .locked

Записка: README.html

Email: service@goodluckday.xyz

Результаты анализов: VT + IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34732

BitDefender -> Gen:Variant.Ransom.Hive.6

ESET-NOD32 -> A Variant Of WinGo/Filecoder.AW

Kaspersky -> Trojan-Ransom.Win32.Encoder.opi

Malwarebytes -> Malware.AI.2501709782

Microsoft -> Ransom:Win32/FileCoder.M!MTB

Symantec -> Ransom.Tellyouthepass

Tencent -> Trojan-Ransom.Win32.Crypren.16000120

TrendMicro -> Ransom_FileCoder.R002C0DLG21

=== 2022 ===

Вариант от 20 марта 2022: 

Расширение: .locked

Записка: README.html

Email: service@goodluckday.xyz

BTC: 1K25DjGJuqpK3cgKW15WmHXahuvAfUomVU

Результаты анализов: VT + IA

=== 2023 ===

Вариант от 28 октября 2023:

Расширение: .locked

Записки READ_ME*.html с цифрами: примеры: READ_READ_ME4.html,  READ_ME9.html

Email: service@hellokittycat.online

BTC: bc1ql8an5slxutu3yjyu9rvhsfcpv29tsfhv3j9lr4

=== 2024 ===

Вариант от 8 июня 2024:

Расширение: .locked

Записки READ_ME*.html с цифрами: примеры: READ_ME9.html, READ_ME10.html

Email: service@cyberkiller.xyz

BTC: bc1qnuxx83nd4keeegrumtnu8kup8g02yzgff6z53l

Новость от 11 июня 2024:

Статья о раскрытой уязвимости, позволявшей атакующим продвигать свою вымогательскую кампанию. Ссылка >>

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 myTweet
 ID Ransomware (ID as TellYouThePass)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (author)
 Michael Gillespie
 GrujaRS, xiaopao
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.