SEND.ID.TO

SEND.ID.TO Ransomware

(фейк-шифровальщик) (первоисточник)
Translation into English

Этот крипто-вымогатель якобы шифрует данные пользователей с помощью AES-256 (из текста записки), а затем требует выкуп $400-$700 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

© Генеалогия: выясняется, явное родство с кем-то не доказано.

Изображение — логотип статьи

К незашифрованным файлам добавляется расширение: .CRYPTED

Фактически используется составное расширение: 
.SEND.<ID>.TO.losamedicas@protonmail.com.CRYPTED

Шаблон незашифрованного файла:
<number_code>.SEND.<ID>.TO.losamedicas@protonmail.com.CRYPTED

Примеры незашифрованных файлов:
-123456789.SEND.CV36OKPH7Q.TO.losamedicas@protonmail.com.CRYPTED
1526999590.SEND.7p0oXEOLZI.TO.losamedicas@protonmail.com.CRYPTED

Здесь: -123456789 и 1526999590 - нумерация зашифрованного файла
CV36OKPH7Q и 7p0oXEOLZI - ID скомпрометированного компьютера

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на март и начало апреля 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: 

HOW-TO-DECRYPT-FILES.txt

или

HOW TO DECRYPT FILES.txt

Вариант от 27 марта 2019 с суммой выкупа $700

Вариант от 4 апреля 2019 с суммой выкупа $400

Содержание записки о выкупе:
The important files on your computer have been encrypted
with military grade AES-256 bit encryption.
The only way to get access to your files - enter the decryption key.
We garantee that you can recover all your files safely and easily.
All you need to do is submit the payment and purchase the private key.
 1. Send $400 worth of Bitcoin to following adress:
3D4NDtSP6teXJLqvU3WUjopUvZQ4SLYAu2
If you don't know about Bitcoin you can buy it from here:
www.coinbase.com   or  www.localbitcoins.com  or try google.com
 2. After payment send your ID and contact email to:
losamedicas@protonmail.com or minipod@protonmail.com
YOUR ID: ********** 
and we will send INSTRUCTIONS and KEY for recovery.
PLEASE DON'T EVEN TRY TO RECOVER FILES BY YOURSELF
IN CASE IF YOU WILL TRY TO DO SOMETHING WITHOUT KEY
ACCESS TO YOUR FILES WILL BE PERMANENTLY LOST!
DON'T EVEN TOUCH ANYTHING! OR
ACCESS TO YOUR FILES WILL BE PERMANENTLY LOST!

Перевод записки на русский язык:
Важные файлы на вашем компьютере были зашифрованы с военного класса AES-256 бит шифрованием.
Единственный способ получить доступ к вашим файлам - ввести ключ дешифрования.
Мы гарантируем, что вы можете безопасно и легко восстановить все ваши файлы.
Все, что вам нужно сделать, это отправить платеж и купить закрытый ключ.
  1. Отправьте биткоины на $400 на следующий адрес:
3D4NDtSP6teXJLqvU3WUjopUvZQ4SLYAu2
Если вы не знаете о Биткоbне, вы можете купить его здесь:
www.coinbase.com или www.localbitcoins.com или попробуйте google.com
  2. После оплаты отправьте свой ID и контактный email-адрес на:
losamedicas@protonmail.com или minipod@protonmail.com
ВАШ ID: 7p0oZIOLZI
и мы вышлем ИНСТРУКЦИИ и КЛЮЧ для восстановления.
ПОЖАЛУЙСТА, ДАЖЕ НЕ ПЫТАЙТЕСЬ ВОССТАНОВИТЬ ФАЙЛЫ
В СЛУЧАЕ, ЕСЛИ ВЫ ПОПРОБУЕТЕ СДЕЛАТЬ ЧТО-ТО БЕЗ КЛЮЧА
ДОСТУП К ВАШИМ ФАЙЛАМ БУДЕТ НАВСЕГДА ПОТЕРЯН!
НЕ ДОТРАГИВАЙСЯ НИ ДО ЧЕГО! ИЛИ ЖЕ
ДОСТУП К ВАШИМ ФАЙЛАМ БУДЕТ НАВСЕГДА ПОТЕРЯН!

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Файлы не шифруются, но они переименовываются и получают расширение .CRYPTED, из-за этого пользователи не могут их использовать. 
Целевыми файлами могут оказаться документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и прочие файлы. 

Файлы, связанные с этим Ransomware:
HOW-TO-DECRYPT-FILES.txt

HOW TO DECRYPT FILES.txt
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: boleronez@gmail.com, losamedicas@protonmail.com

Email: losamedicas@protonmail.com, minipod@protonmail.com
BTC: 3A8pDa9nGTaEZssNnDn1MxbdAQv5fkrezH
BTC: 3D4NDtSP6teXJLqvU3WUjopUvZQ4SLYAu2
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis на файл, загруженный пострадавшим >>
𝚺  VirusTotal analysis на файл, загруженный пострадавшим >>
🐞 Intezer analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
ᕒ  ANY.RUN analysis >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (author)
 to the victims who sent the samples
 *
 *
 

© Amigo-A (Andrew Ivanov): All blog articles.