Redkeeper

Redkeeper Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель якобы шифрует данные пользователей с помощью AES (на самом деле не шифрует), а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Redkeeper. На файле написано: redkeeper.exe. Написан на языке Python  2.7.16. 

Обнаружения:
DrWeb -> Trojan.Encoder.28464
Symantec -> Trojan.Gen.MBT
ESET-NOD32 -> Python/Filecoder.CJ
ALYac -> Trojan.Ransom.Python
Kaspersky -> Exploit.Win32.CVE-2019-0708.a, Exploit.Win32.CVE-2019-0708.b

© Генеалогия: другие Python Ransomware >> Redkeeper Ransomware

К зашифрованным файлам должны добавляться расширения: 
.GIVE
.WNCRY
.PCCyborg

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя был найден в середине июня 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Возможно, что пока не распространяется и находится в разработке, так целью является только изображение кота в записке о выкупе. К нему и добавляются вышеназванные расширения, но само изображение не шифруется, т.к. остается видимым. 

Записка с требованием выкупа называется: RTFM.txt

Сокращение RTFM происходит от английской фразы "Read The Following Manual" - "Читай следующее руководство". 

Содержание записки о выкупе:

░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
░░░░░░░░░░▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄░░░░░░░░░
░░░░░░░░▄▀░░░░░░░░░░░░▄░░░░░░░▀▄░░░░░░░
░░░░░░░░█░░▄░░░░▄░░░░░░░░░░░░░░█░░░░░░░
░░░░░░░░█░░░░░░░░░░░░▄█▄▄░░▄░░░█░▄▄▄░░░
░▄▄▄▄▄░░█░░░░░░▀░░░░▀█░░▀▄░░░░░█▀▀░██░░
░██▄▀██▄█░░░▄░░░░░░░██░░░░▀▀▀▀▀░░░░██░░
░░▀██▄▀██░░░░░░░░▀░██▀░░░░░░░░░░░░░▀██░
░░░░▀████░▀░░░░▄░░░██░░░▄█░░░░▄░▄█░░██░
░░░░░░░▀█░░░░▄░░░░░██░░░░▄░░░▄░░▄░░░██░
░░░░░░░▄█▄░░░░░░░░░░░▀▄░░▀▀▀▀▀▀▀▀░░▄▀░░
░░░░░░█▀▀█████████▀▀▀▀████████████▀░░░░
░░░░░░████▀░░███▀░░░░░░▀███░░▀██▀░░░░░░
░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░

You cannot arrest an idea
Your files have been encrypted.  To decrypt your files send 1,000,000 satoshi (Don't you think we should ask more than 1 million satoshi ?) to address 19GL2cUrn1Xx8XD6VaL25SYAzQd6qnwVb7 
If you like to be a hero when balance is over 100,000,000 satoshi kill switch activates !?! 

Перевод записки на русский язык:
Вы не можете сдержать идею
Ваши файлы зашифрованы. Для расшифровки ваших файлов пришлите 1 миллион сатоши (не думаете ли вы, что нужно просить более 1 миллиона сатоши?) на адрес 19GL2cUrn1Xx8XD6VaL25SYAzQd6qnwVb7
Если вам нравится быть героем, когда баланс превысит 100000000 сатоши, активируется аварийная кнопка!?!

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
После доработки это могут быть документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RTFM.txt
redkeeper.exe
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://iuqerfsodp9ifjaposdfjhgosurijfaewrwergwey.com/
URL: xxxx://canarytokens.com/about/images/traffic/v9p49wb2o4w2qgl8ffb7gfl5g/submit.aspx
Email: -
BTC: 19GL2cUrn1Xx8XD6VaL25SYAzQd6qnwVb7
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>  HA>>
𝚺  VirusTotal analysis >>  VT>>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>  AR>>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Petrovic
 Andrew Ivanov (author)
 *
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.