PPDDDP

PPDDDP Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует написать на email вымогателей, чтобы узнать сумму выкупа в BTC, которую нужно заплатить, чтобы расшифровать файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. 

Обнаружения:
DrWeb ->
BitDefender ->


© Генеалогия: выясняется, явное родство с кем-то не доказано.

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .ppdddp

Фактически используется составное  расширение: .support@anonymous-service.cc.ppdddp

Шифруются не все файлы. В каждой папке для шифрования выбираются лишь некоторые файлы, которые после шифрования получают составное название, состоящее от названия директории, учетной записи, типа файла и чего-то еще. Зашифрованный файл имеет псевдо-XML с оригинальным именем файла и другим именем файла в конце. Только корень папки показывает зашифрованный файл, другие элементы в папке — это пустые значки с исходным именем файла. Другие файлы, видимо, повреждены (0Кб). 

Примеры зашифрованных файлов и их оригинальные названия: 
2019 Both Boats.jpg - Pictures.support@anonymous-service.cc.ppdddp
adwcleaner.db - AdwCleaner.support@anonymous-service.cc.ppdddp
NTUSER.DAT - administrator.support@anonymous-service.cc.ppdddp
Agent_Installer.msi - root.support@anonymous-service.cc.ppdddp


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на первую половину декабря 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: FileRestore.html

Содержание записки о выкупе:
Your files has been encrypted!
Hi
We have encrypted your files. Yes we know that it's shitty but it's not a disasster.
You are able to decrypt all files without aftermath for a 48 hours. 
If time will expire you'll unable to restore your files. 
We'll format your disk and delete decryption keys from our database.
Don't waste your time to check backups, it's also encrypted or deleted.
Your ID: 507e83c9983ac00bcd5331991bd***** [total 32 characters]
You can buy BTC on one of this sites:
https://www.bestchange.com/paypal-usd-to-bitcoin.html
To get the decryptor you need to send mail with your ID to support@anonymous-service.cc Then you will receive mail with price, instruction for payment and decryption.
Attention!
No Payment = No decryption
You really get the decryptor after payment
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders other users are not compatible with your data, because each user's unique encryption key

Перевод записки на русский язык:
Ваши файлы были зашифрованы!
Привет
Мы зашифровали ваши файлы. Да, мы знаем, что это дерьмо, но это не катастрофа.
Вы можете расшифровать все файлы без последствий в течение 48 часов.
Если время истечет, вы не сможете восстановить свои файлы.
Мы отформатируем ваш диск и удалим ключи дешифрования из нашей базы данных.
Не тратьте время на проверку резервных копий, они также зашифрованы или удалены.
Ваш ID: 507e83c9983ac00bcd5331991bd***** [всего 32 знака]
Вы можете купить BTC на одном из следующих сайтов:
https://www.bestchange.com/paypal-usd-to-bitcoin.html
Чтобы получить расшифровщик, вам необходимо отправить письмо с вашим ID на support@anonymous-service.cc. Затем вы получите письмо с ценой, инструкцией по оплате и расшифровкой.
Внимание!
Нет оплаты = нет расшифровки
Вы действительно получаете расшифровщик после оплаты
Не пытайтесь удалить программу или запустить антивирусные инструменты
Попытки самостоятельно расшифровать файлы приведут к потере ваших данных
Декодеры других пользователей не совместимы с вашими данными, потому что у каждого пользователя уникальный ключ шифрования

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
FileRestore.html
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: support@anonymous-service.cc
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 15 марта 2020:
Пост на форуме >>
Расширение: .dddpp
Записка: FileRestore.html
Email: crptcloud@protonmail.ch

 

➤ Содержание записки:
Your files has been encrypted!
Hi
We have encrypted your files. Yes we know that it's shitty but it's not a disasster.
You are able to decrypt all files without aftermath for a 48 hours. 
If time will expire you'll unable to restore your files. 
We'll format your disk and delete decryption keys from our database.
Don't waste your time to check backups, it's also encrypted or deleted.
Your ID: a8e76a349f865b6299983810252***** [всего 32 знака]
You can buy BTC on one of this sites:
https://www.bestchange.com/paypal-usd-to-bitcoin.html
To get the decryptor you need to send mail with your ID to crptcloud@protonmail.ch Then you will receive mail with price, instruction for payment and decryption.
Attention!
No Payment = No decryption
You really get the decryptor after payment
Do not attempt to remove the program or run the anti-virus tools
Attempts to self-decrypting files will result in the loss of your data
Decoders other users are not compatible with your data, because each user's unique encryption key

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter: myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (author), Michael Gillespie
 ***
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.