Scarab 2019

Scarab 2019 Ransomware

Сборник разных случаев за 2019 год

(шифровальщик-вымогатель) (первоисточник)

Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью алгоритмов AES и RSA, а затем требует выкуп в долларах, BTC или в другой валюте, чтобы вернуть файлы. Оригинальное название: Scarab, Scarab-Locker и другие. Распространяется разными группами вымогателей с июня 2017 года. Множество предыдущих вариантов можно увидеть в Списке по алфавиту или в конце каждой статьи про Scarab в "ИСТОРИЯ СЕМЕЙСТВА". 

Обнаружения (самые ранние):
DrWeb -> Trojan.Encoder.11464, Trojan.Encoder.12234, Trojan.Encoder.26375, Trojan.PWS.Papras.2867, Trojan.Siggen7.53909
BitDefender -> Trojan.GenericKD.30955658, DeepScan:Generic.Ransom.Amnesia.*, Trojan.GenericKD.6236966, Trojan.GenericKD.12609597, Trojan.VBS.Downloader.AFC, Gen:Variant.Ransom.Scarab, Gen:Variant.Ransom.Scarab.2
ALYac -> Trojan.Ransom.Scarab, Trojan.Downloader.VBS.Agent, Gen:Variant.Ransom.Scarab.2
Avira (no cloud) -> TR/Downloader.Gen, TR/PSW.Fareit.bbj, TR/PSW.Fareit.bbm, VBS/Agent.12564 
ESET-NOD32 -> A Variant Of Win32/Kryptik.FTLU, Win32/Filecoder.FS, A Variant Of Win32/Filecoder.FS, VBS/TrojanDownloader.Agent.PKK 
Kaspersky -> HEUR:Trojan.Win32.Generic, HEUR:Trojan-Ransom.Win32.Generic, Trojan-Ransom.Win32.Purga.cz, Trojan-Ransom.Win32.Purga.da, HEUR:Trojan-Downloader.Script.Generic
Malwarebytes -> Ransom.Scarab, Trojan.MalPack
Rising -> Trojan.Generic@ML.92*, Ransom.Genasom!8.293 (CLOUD), Ransom.Purga!8.DA36 (KTSE), Ransom.Foreign!8.292 (KTSE), Downloader.VBS/Agent!1.AEC5 (CLASSIC), Ransom.Kitoles!8.ED4F (CLOUD)
Sophos AV -> Troj/Scarab-B, Mal/Generic-S, Troj/Scarab-C, Troj/Ransom-ESP, VBS/DwnLdr-UVA
Symantec -> Ransom.GlobeImposter, Ransom.CryptXXX, Trojan Horse, VBS.Downloader.Trojan, ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Raas.Auto, Win32.Trojan.Filecoder.Lpuw, Js.Trojan.Raas.Auto, Win32.Trojan.Filecoder.Kpw
TrendMicro -> Ransom_SCARAB.A, Ransom_SCARAB.B, Ransom_SCARAB.C, Ransom_SCARAB.D, VBS_SCARAB.SMJS, Mal_Purge
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне! 

© Генеалогия: Globe Family > Amnesia > Amnesia-2 > Scarab Family © Генеалогия: Scarab >> множество вариантов за 2017-2018 г. > Scarab 2019 > Scarab 2020 и далее

Изображение — логотип статьи Scarab 2019

К зашифрованным файлам добавляются разные расширения. 
Примеры: 



Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя продолжается в течение 2019 г. Ориентирован на разноязычных (англоязычных, русскоязычных и прочих) пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа может называться: 
HOW TO DECRYPT FILES.txt
HOW TO RECOVER ENCRYPTED FILES.TXT
How to decrypt files.TXT
Как расшифровать файлы ***.txt

Иногда запиской с требованием выкупа может выступать изображение, заменяющее обои Рабочего стола. 

Содержание записки о выкупе:
различается в разных вариантах. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 3 декабря 2019
Пост в Твиттере >>
Расширение: .b78vi7v6ri66b 
Записка: HOW TO RECOVER ENCRYPTED FILES.TXT
Email: mailnitrom@protonmail.ch (mailnitrom@airmail.cc, mailnitrom@tutanota.com)
Результаты анализов: VT + HA + AR

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Scarab)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (author)
 Emmanuel_ADC-Soft, GrujaRS, Michael Gillespie, 
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.