Project Root

Project Root Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Project Root. Написан на языке Go. Предназначен для Windows и Linux (для x32 и x64 систем). 

Обнаружения:
DrWeb -> Trojan.Encoder.32554
BitDefender -> Gen:Variant.Ransom.GoRansom.3
Avira (no cloud) -> HEUR/AGEN.1117040
ESET-NOD32 -> A Variant Of Win64/Filecoder.AX
Malwarebytes -> ***
Rising -> Trojan.Generic@ML.80 (RDML:***
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> TROJ_GEN.R002H09IE20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: Project Root. Начало

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .Lulz


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 



Этимология названия: 
За основу видимо взято название одноименной онлайн-игры "Project Root". Хотя это может быть лишь сопоставлением известных слов, словосочетание которых просто понравилось разработчикам-стартаперам вымогательского проекта. 

Активность этого крипто-вымогателя пришлась на начало октября 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: Fuck.txt

Содержание записки о выкупе:
You are hacked
your all files have been encrypted
if you want you files back
email us here : sxvcsacobyzurlock@protonmail.com with your unique id => QUOWQKOQPAYVOUBSURCVEXLRNOSKSLFY
Fuck you!!!

Перевод записки на русский язык:
Ты взломан
все твои файлы зашифрованы
если ты хочешь вернуть файлы
пиши нам сюда: sxvcsacobyzurlock@protonmail.com с твоим уникальным id => QUOWQKOQPAYVOUBSURCVEXLRNOSKSLFY
Иди ты!!!

Также загружает изображение, заменяющее обои Рабочего стола.

Технические детали

Распространяется на форумах кибер-андеграунда как RaaS. Стартаперы набирают партнеров. Вымогательский проект доступен в двух версиях. "Стандартная" версия стоит $150 в биткойнах и позволяет генерировать неограниченное количество "базовых" полезных данных через свой портал, а также компоненты управления и распространения ключей. Обновления этой версии бесплатны в течение 6 месяцев. В течение последних двух недель цена стандартной версии колебалась от $50 до "Бесплатной". "Pro" версия обеспечивает лучшую поддержку, более длительный срок бесплатных обновлений и расширенные возможности уклонения от анализа. Покупатели получают полный доступ к исходному коду для расширенных "возможностей настройки" и приложение-конструктор . Pro-версия рекламировалась все время, но официально "запущена" 17 октября. 

После покупки может начать распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.


Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Шифровальщик пытается очистить локальные журналы событий Windows и установить новый корневой сертификат. 

Список файловых расширений, подвергающихся шифрованию:
.001, .3fr, .7z, .accdb, .ai, .apk, .arch00, .asset, .avi, .bar, .bay, .bc6, .bc7, .big, .bik, .bin, .bkf, .bkp, .blob, .bsa, .c, .cab, .cas, .cdr, .cer, .cfr, .con, .cpp, .cr2, .crt, .crw, .css, .csv, .d3dbsp, .das, .DayZProfile, .dazip, .db0, .dbf, .dcr, .der, .desc, .dmp, .dng, .doc, .docm, .docx, .dwg, .dxg, .epk, .eps, .erf, .esm, .ff, .flv, .forge, .fos, .fpk, .fsh, .gdb, .gho, .gif, .hkdb, .hkx, .hplg, .htm, .html, .hvpl, .ibank, .icxs, .indd, .iso, .itdb, .itl, .itm, .itm, .iwd, .jpe, .jpeg, .jpg, .js, .kdc, .kf, .lbf, .litemod, .lng ttarch2, .lrf, .ltx, .lvl, .m2, .m3u, .m4a, .map, .mcgame, .mcmeta, .mdb, .mdbackup, .mdf, .mef, .menu, .mlx, .mp3, .mp4, .mpq, .mpqge, .mrwref, .ncf, .nrw, .ntl, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pak, .pdd, .pdf, .pef, .pem, .pfx, .pkpass, .png, .ppt, .pptm, .pptx, .psd, .psk, .pst, .ptx, .py, .qdf, .qic, .r3d, .raf, .rar, .raw, .re4, .rgss3a, .rim, .rofl, .rtf, .rw2, .rwl, .sav, .sb, .sb, .sc2save, .sid, .sidd, .sidn, .sie, .sis, .slm, .snx, .sql, .sr2, .srf, .srw, .sum, .svg, .t12, .t13, .tax, .tor, .torrent, .txt, .unity3d, .upk, .vdf, .vfs0, .vpk, .vpp_pc, .vtf, .w3x, .wb2, .wma, .wmo, .wmo, .wmv, .wotreplay, .wpd, .wps, .x3f, .xf, .xlk, .xls, .xlsb, .xlsm, .xlsx, .ztmp (196 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Fuck.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Загрузка картинки: https://i.postimg.cc/pdbqqS5P/new.jpg
Загрузка картинки: https://postimg.cc/Snd6KDGP
Tor-URL: http://prootk6nzgp7amie.onion
DNS: ec2-3-18-214-41.us-east-2.compute.amazonaws.com
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>  TG>
Ⓗ Hybrid analysis >>  HA>
𝚺  VirusTotal analysis >>  VT>
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>  AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter: myTweet
 ID Ransomware (ID as ***)
 Write-up, Write-up-2, Topic of Support
 * 

 Thanks: 
 Jim Walter (SentinelOne)
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.