EZDZ-Locker

EZDZ Ransomware

EZDZ-Locker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей, а затем требует написать на email вымогателей, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

Обнаружения:
DrWeb -> Trojan.MulDrop9.10170, Trojan.Encoder.29852
BitDefender -> Generic.Ransom.GarrantDecrypt.B.*
Malwarebytes -> Ransom.EZDZ
Kaspersky -> Exploit.Win32.UAC.akb
ESET-NOD32 -> A Variant Of Win32/Filecoder.Outsider.E


© Генеалогия: ??? >> EZDZ-Locker > DeathRansom

К зашифрованным файлам добавляется расширение: .EZDZ


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Ранний образец этого крипто-вымогателя был обнаружен в начале мая 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. На данный момент, видимо, находится в разработке. 

Записка с требованием выкупа называется: HELP_PC.EZDZ-REMOVE.txt

Содержание записки о выкупе:
test
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
test

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HELP_PC.EZDZ-REMOVE.txt
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 22 мая 2019:
Пост в Твиттере >>
Тестовая версия. 
Расширение: .EZDZ
Записка: HELP_PC.EZDZ-REMOVE.txt
Результаты анализов: VT + AR + AR

Обновление от 28 декабря 2019:
Пост в Твиттере >>
Расширение: .help
Записка: READ_ME.TXT
Email: helpforyoupc@tutanota.com
Результаты анализов: VT + HA + IA

Обновление от 13-14 декабря 2019:
Пост в Твиттере >>
Расширение: .chch
Шифрует без тормозов, на зашифрованном файле может быть даже такое расширение: 
.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch.chch
Записка: READ_ME.TXT
Email: squadhack@email.tg
Файл: locker.exe
Результаты анализов: VT + IA + AR + JSB

---
➤ Обнаружения: 
DrWeb -> Trojan.Encoder.29852
ESET-NOD32 -> A Variant Of Win32/Filecoder.DeathRansom.A
Malwarebytes -> Ransom.Squad
Rising -> Trojan.Generic!8.C3 (CLOUD)
Symantec -> Ransom.Chy
TrendMicro -> Ransom.Win32.DEATHRANSOM.B
---

 

➤ Содержание записки: 
Your files are encrypted! 
All your important data has been encrypted.
To recover data you need decryptor.
To get the decryptor you should:
Send 1 test image or text file squadhack@email.tg
In the letter include your personal ID (look at the end of this document).
We will give you the decrypted file and assign the price for decryption all files 
After we send you instruction how to pay for decrypt and after payment you will receive a decryptor and instructions We can decrypt one file in quality the evidence that we have the decoder.
Attention!
Only squadhack@email.tg     can decrypt your files 
Do not trust anyone  squadhack@email.tg
Do not attempt to remove the program or run the anti-virus tools 
Attempts to self-decrypting files will result in the loss of your data 
Decoders other users are not compatible with your data, because each user's unique encryption key 
ID: lXzW6O/wR3+idOrfP7zPVbNjQRl8hgXLFrslgbzZx3ftD/ZY8nIH [всего 684 знаков]

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie, JAMESWT
 Andrew Ivanov (author)
 CyberSecurity GrujaRS
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.