Scarab 2019 Ransomware
Сборник разных случаев за 2019 год
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью алгоритмов AES и RSA, а затем требует выкуп в долларах, BTC или в другой валюте, чтобы вернуть файлы. Оригинальное название: Scarab, Scarab-Locker и другие. Распространяется разными группами вымогателей с июня 2017 года. Множество предыдущих вариантов можно увидеть в Списке по алфавиту или в конце каждой статьи про Scarab в "ИСТОРИЯ СЕМЕЙСТВА".
Обнаружения (самые ранние):
DrWeb -> Trojan.Encoder.11464, Trojan.Encoder.12234, Trojan.Encoder.26375, Trojan.PWS.Papras.2867, Trojan.Siggen7.53909
BitDefender -> Trojan.GenericKD.30955658, DeepScan:Generic.Ransom.Amnesia.*, Trojan.GenericKD.6236966, Trojan.GenericKD.12609597, Trojan.VBS.Downloader.AFC, Gen:Variant.Ransom.Scarab, Gen:Variant.Ransom.Scarab.2
ALYac -> Trojan.Ransom.Scarab, Trojan.Downloader.VBS.Agent, Gen:Variant.Ransom.Scarab.2
Avira (no cloud) -> TR/Downloader.Gen, TR/PSW.Fareit.bbj, TR/PSW.Fareit.bbm, VBS/Agent.12564
ESET-NOD32 -> A Variant Of Win32/Kryptik.FTLU, Win32/Filecoder.FS, A Variant Of Win32/Filecoder.FS, VBS/TrojanDownloader.Agent.PKK
Kaspersky -> HEUR:Trojan.Win32.Generic, HEUR:Trojan-Ransom.Win32.Generic, Trojan-Ransom.Win32.Purga.cz, Trojan-Ransom.Win32.Purga.da, HEUR:Trojan-Downloader.Script.Generic
Malwarebytes -> Ransom.Scarab, Trojan.MalPack
Rising -> Trojan.Generic@ML.92*, Ransom.Genasom!8.293 (CLOUD), Ransom.Purga!8.DA36 (KTSE), Ransom.Foreign!8.292 (KTSE), Downloader.VBS/Agent!1.AEC5 (CLASSIC), Ransom.Kitoles!8.ED4F (CLOUD)
Sophos AV -> Troj/Scarab-B, Mal/Generic-S, Troj/Scarab-C, Troj/Ransom-ESP, VBS/DwnLdr-UVA
Symantec -> Ransom.GlobeImposter, Ransom.CryptXXX, Trojan Horse, VBS.Downloader.Trojan, ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Raas.Auto, Win32.Trojan.Filecoder.Lpuw, Js.Trojan.Raas.Auto, Win32.Trojan.Filecoder.Kpw
TrendMicro -> Ransom_SCARAB.A, Ransom_SCARAB.B, Ransom_SCARAB.C, Ransom_SCARAB.D, VBS_SCARAB.SMJS, Mal_Purge
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: Globe Family > Amnesia > Amnesia-2 > Scarab Family © Генеалогия: Scarab >> множество вариантов за 2017-2018 г. > Scarab 2019 > Scarab 2020 и далее
К зашифрованным файлам добавляются разные расширения.
Примеры:
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Активность этого крипто-вымогателя продолжается в течение 2019 г. Ориентирован на разноязычных (англоязычных, русскоязычных и прочих) пользователей, что не мешает распространять его по всему миру.
Записка с требованием выкупа может называться:
HOW TO DECRYPT FILES.txt
HOW TO RECOVER ENCRYPTED FILES.TXT
How to decrypt files.TXT
Как расшифровать файлы ***.txt
Иногда запиской с требованием выкупа может выступать изображение, заменяющее обои Рабочего стола.
Содержание записки о выкупе:
различается в разных вариантах.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновление от 3 декабря 2019
Пост в Твиттере >>
Расширение: .b78vi7v6ri66b
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
Email: mailnitrom@protonmail.ch (mailnitrom@airmail.cc, mailnitrom@tutanota.com)
Результаты анализов: VT + HA + AR
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + Tweet + myTweet ID Ransomware (ID as Scarab) Write-up, Topic of Support *
Thanks: Andrew Ivanov (author) Emmanuel_ADC-Soft, GrujaRS, Michael Gillespie, *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Комментариев нет:
Отправить комментарий
ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.