Rapid-Gillette Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
© Генеалогия: Rapid > Gillette (новый вариант Rapid)
К зашифрованным файлам добавляется расширение: .GILLETTE
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Активность этого крипто-вымогателя пришлась на первую половину марта 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Первые пострадавшие из США.
Записка с требованием выкупа называется: Decrypt DATA.txt
Содержание записки о выкупе:
All your important files are encrypted
There is only one way to get your files back: contact with us, pay, and get decryptor software.
We accept Bitcoin
You have Your personal identifier, write it in letter when contact with us.
Also you can decrypt 1 file for test, its guarantee what we can decrypt your files.
Attention!
Do not rename encrypted files.
Do not try to decrypt using third party software, it may cause permanent data loss.
For decrypt your data write to email
Contact information: gagima@gmail.com
and tell us your unique ID - ID-[8 uppercase alphanum]
Перевод записки на русский язык:
Все ваши важные файлы зашифрованы
Есть только один способ вернуть ваши файлы: связаться с нами, оплатить и получить программу расшифровки.
Мы принимаем биткоины
У вас есть личный идентификатор, напишите его в письме при связи с нами.
Также вы можете расшифровать 1 файл для проверки, это гарантия того, что мы можем расшифровать ваши файлы.
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровать с помощью сторонних программ, это может привести к постоянной потере данных.
Для расшифровки ваших данных пишите на почту
Контактная информация: gagima@gmail.com
и сообщите нам свой ID - ID-[8 прописных букв]
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
Decrypt DATA.txt
<random>.exe - случайное название
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: gagima@gmail.com
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
ᕒ ANY.RUN analysis >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
Rapid Ransomware - январь 2018
Rapid 2.0 Ransomware - март 2018
Rapid 3.0 Ransomware - май 2018
Rapid-Gillette Ransomware - март 2019
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновление от 28 марта 2019:
Пост в Твиттере >>
Штамп времени: 10 марта 2019.
Расширение: .GILLETTE
Записка: Decrypt DATA.txt
Email: gillette_help@mail.com, gillette-help@mail.com
Результаты анализов: VT
Обновление от 2 апреля 2019:
Пост в Твиттере >>
Штамп времени: 10 марта 2019.
Расширение: .GILLETTE
Записка: Decrypt DATA.txt
Email: gilletteprice@mail.com, gilletteprice@countermail.com
Результаты анализов: VT
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + myTweet ID Ransomware (ID as Rapid) Write-up, Topic of Support *
Thanks: Michael Gillespie, MalwareHunterTeam Andrew Ivanov (author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles.
