SpartCrypt

SpartCrypt Ransomware

SpartCript Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке указано SpartCript и SpartCrypt. На файле написано: Chrome и Spart_E.exe. Фальш-копирайт: Copyright 1999-2019 Chrome and Google developers. All rights reserved.

Обнаружения:
DrWeb -> Trojan.Encoder.29792
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
Malwarebytes -> Ransom.SpartCrypt
Microsoft -> Ransom:Win32/Higuniel.A
TrendMicro -> Ransom_Higuniel.R002C0DKF19
Symantec -> Trojan.Gen.2, ML.Attribute.HighConfidence
Rising -> Trojan.Phobos/HELP!1.BCC4*

© Генеалогия: HiddenTear >> разные однотипные Ransomware > SpartCrypt

К зашифрованным файлам добавляется расширение: .Encrypted

Фактически используется составное расширение:
.SpartCrypt[LordCracker@protonmail.com]-[ID-XXXXXXXX].Encrypted

Пример зашифрованного файла:
Document.doc.SpartCrypt[LordCracker@protonmail.com]-[ID-71D2C847].Encrypted

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину ноября 2019 г. Штамп времени: 13 ноября 2019. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа называются: How_To_Restore_Your_Files.txt
info.hta

 

Содержание записки о выкупе:
_______________________________________________________

Spart Cript
_______________________________________________________
[+] All Your Files Have Been Encrypted [+]
[-] Do You Really Want To Restore Your Files?
[-] Write Us To The E-Mail : LordCracker@protonmail.com - Phabos@cock.li
[-] Write Your Unique-ID In The Title Of Your Message.
[+] Unique-ID : XXXXXXXX
[-] You Have To Pay For Decryption In Bitcoins.
[-] The Price Depends On How Fast You Write To Us.
[-] After Payment We Will Send You The Decryption Tool
That Will Decrypt All Your Files.
_______________________________________________________
[+] Free Decryption As Guarantee [+]
[-] Before Paying You Can Send Us Up To 5 Files For
Free Decryption, The Total Size Of Files Must Bee Less 
Than 10MB, (Non Archived) And Files Should Not Contain 
Valuable Information (Databases, Backups, Large Excel 
-Sheets, Etc). 
_______________________________________________________
[+] How To Obtain Bitcoins [+] 
[-] The Easiest Way To Buy Bitcoins Is LocalBitcoins
Site : https://localbitcoins.com/buy_bitcoins
You Have To Register, Click 'Buy Bitcoins', And Select
The Seller By Payment Method And Price. 
[-] Also You Can Find Other Places To Buy Bitcoins And 
Beginners Guide Here: 
http://coindesk.com/information/how-can-i-buy-bitcoins
_______________________________________________________ 
[+] Attention! [+] 
[-] Do Not Rename Encrypted Files. 
[-] Do Not Try To Decrypt Your Data Using Third Party 
-Software, It May Cause Permanent Data Loss. 
[-] Decryption Of Your Files With The Help Of Third 
Parties May Cause Increased Price (They Add Their Fee 
To Our) Or You Can Become A Victim Of A Scam.
_____________________Spart_Crypt_______________________


Перевод записки на русский язык (без коррекции):
Spart Cript
[+] Все ваши файлы были зашифрованы [+]
[-] Вы действительно хотите восстановить ваши файлы?
[-] Напишите нам на email: LordCracker@protonmail.com - Phabos@cock.li
[-] Напишите свой уникальный ID в заголовке вашего сообщения.
[+] Уникальный ID: XXXXXXXX
[-] Вы должны платить за расшифровку в биткойнах.
[-] Цена зависит от того, как быстро вы пишете нам.
[-] После оплаты мы вышлем вам инструмент для расшифровки
Это расшифрует все ваши файлы.
[+] Бесплатная расшифровка как гарантия [+]
[-] Перед оплатой вы можете отправить нам до 5 файлов
Свободное дешифрование, общий размер файлов должен быть меньше
Более 10 МБ (не в архиве) и файлы не должны содержать
Ценная информация (базы данных, резервные копии, большой Excel)
Листы и т. Д.)
[+] Как получить биткойны [+]
[-] Самый простой способ купить биткойны - это LocalBitcoins 
Сайт: https://localbitcoins.com/buy_bitcoins
Вы должны зарегистрироваться, нажать «Купить биткойны» и выбрать
Продавца по способу оплаты и цене.
[-] Также вы можете найти другие места для покупки биткойнов и
Руководство для начинающих здесь:
http://coindesk.com/information/how-can-i-buy-bitcoins
[+] Внимание! [+]
[-] Не переименовывайте зашифрованные файлы.
[-] Не пытайтесь расшифровать ваши данные с помощью от третьих лиц
-Программы, это может привести к постоянной потере данных.
[-] Расшифровка ваших файлов с помощью третьей
Стороны могут вызвать повышение цены (они добавляют свою плату к 
Нашей) Или Вы можете стать жертвой мошенников.
_____________________Spart_Crypt_______________________

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Spart_E.exe
How_To_Restore_Your_Files.txt

info.hta
SINFO.txt - специальный файл
<random>.exe - случайное название вредоносного файла
dev_man.exe
l.bat
r.py
r.pyw
sdel.exe
Spart_E.pdb - файл проекта

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Desktop\Spart_E\Spart_E\obj\Debug\Spart_E.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: LordCracker@protonmail.com, Phabos@cock.li
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 26 ноября 2019:
Самоназвание (в заголовке): SpartCrypter
Пост в Твиттере >>
Составное расширение (пример): .SpartCrypt[LordCracker@protonmail.com]-[ID-C4BA3647].Encrypted
Записки: How_To_Restore_Your_Files.txt, info.hta, SINFO.txt
Email: LordCracker@protonmail.com, Phabos@cock.li
Файлы: spart_protected.exe, Spart_E.exe
Результаты анализов: VT + AR

 

Обновление от 7 июля 2020:
Самоназвание (в заголовке): CoronaCrypt
Пост в Твиттере >>
Составное расширение (пример): .CoronaCrypt[u.contact@aol.com]-[ID-004E761C].Encrypted
Составное расширение (шаблон): .CoronaCrypt[u.contact@aol.com]-[ID-<id>].Encrypted
Записки: How_To_Restore_Your_Files.txt, info.hta, SINFO.txt
Email: u.contact@aol.com
Файл: Spart_E.exe
Результаты анализов: VT + IA

 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Скачайте Emsisoft Decryptor по ссылке >>

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as SpartCrypt)
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.