Prometey

Prometey Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Prometey. На файле написано: нет данных.

Обнаружения:
DrWeb -> Trojan.Packed2.42184
BitDefender -> Trojan.GenericKD.32810294
Microsoft -> Trojan:Win32/Bunitu.PVD!MTB
Rising -> Trojan.Kryptik!1.BFC8 (CLASSIC)
TrendMicro -> TROJ_GEN.R02DC0DLG19
Symantec -> ML.Attribute.HighConfidence

© Генеалогия: AnteFrigus > Prometey

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .<random>
Например: .ontmbqf


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало октября 2019 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется по шаблону: <random>-help.txt
Например: ontmbqf-help.txt

Записка шаблон со скрытыми знаками

Пример оригинальной записки 

Содержание записки о выкупе:
Atention!
Your computer encrypted !!!
The information on your computer were encrypted by ransomware. Encrypted files shown by extension .*******
If you try to reload your OS and recover information all you files will be deleted forewer!
To decrypt files follow the instructions below:
1) download and install TOR browser (if this browser blocked in your country, install VPN and download it)
?- open in TOR url: http://s2n2qnhaxhp6dfggjvIvaouoxbqijjn6znucbhhzxsg45dfh6z4zh7ad.onion/?******* and chat with operator,
?- If you have any difficulties to purchase bitcoins or you doubt in buying decryptor, contact any data recovery
company in your country, they will give you more guarantees and make decryption procedure by themselves. Almost all such companies heared about us and know that our decryption program works, so they can help you.
Autorize yourself whith the key:
**************************************************************
After registration chat with our operators and they will give you further instructions for decryption your files!

Перевод записки на русский язык:
ВНИМАНИЕ!
Ваш компьютер зашифрован !!!
Информация на вашем компьютере была зашифрована ransomware. Зашифрованные файлы получили расширение .*******
Если вы попытаетесь перезагрузить свою ОС и восстановить информацию, все ваши файлы будут удалены навсегда!
Чтобы расшифровать файлы, следуйте инструкциям ниже:
1) Загрузите и установите браузер TOR (если этот браузер заблокирован в вашей стране, установите VPN и загрузите его)
? - открыть в URL TOR: http://s2n2qnhaxhp6dfggjvIvaouoxbqijjn6znucbhhzxsg45dfh6z4zh7ad.onion/?******* и пообщайтесь с оператором,
? - Если у вас есть какие-то трудности с приобретением биткойнов или вы сомневаетесь в покупке расшифровщика, свяжитесь с любой компанией по восстановлению данных в вашей стране, они предоставят вам больше гарантий и самостоятельно выполнят процедуру расшифровки. Почти все такие компании слышали о нас и знают, что наша программа расшифровки работает, поэтому они могут вам помочь.
Подтвердите себя ключом:
************************************************** ************
После регистрации пообщайтесь с нашими операторами и они дадут вам дальнейшие инструкции по расшифровке ваших файлов!


Скриншот сайта вымогателей до ввода ключа

Они пишут в записке, что компании по восстановлению данных знают о них. Скорее всего, эти "компании" являются их сообщниками или имеют долю от вымогательства. Может быть, пора полиции заинтересоваться такими "знающими" о "Prometey" компаниями. Впрочем, теперь, после публикации статьи, они могу сослаться на эту статью. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<random>-help.txt  - шаблон
ontmbqf-help.txt - пример
<random>.exe - случайное название вредоносного файла
pixoj.pdb
je.pdb

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Файлы проектов: 
C:\degijakotipixifejow\je.pdb
me\crypt\tmp_233015483\bin\pixoj.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor URL: xxxx://s2n2qnhaxhp6dfggjvIvaouoxbqijjn6znucbhhzxsg45dfh6z4zh7ad.onion/
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 21 января 2020: 
Пост в Твиттере >>
Расширение: .bbadc
Записка: CLICK_HERE-bbadc.txt
Результаты анализов: VT + VMR

Обновление от 11 марта 2020: 
Идентификация Prometey интегрирована в Antefrigus. 
Пост в Твиттере >>
Расширение: .daaefc
Записка: CLICK_HERE-daaefc.txt

Tor URL: xxxx://i6jppiczqa5moqfl57gssi33npwfseqppdsnz7rriiv7suf4pf4w42id.onion

 

Текст из чата:
Chat rules:
    1. Write in English only
    2. Do not spam and flood in chat room. The operator will contact you asap.
    3. Insults and curses in the chat room will be stopped by the ban permanently.
Operator:
Due to a critical system error, all of your files are encrypted. To decrypt all the files on your computer you have to pay 0.15 Bitcoins. If you do not know how to do this, look for file recovery services on the Internet, they will help you. For proof, we can decrypt 1 image file for free. To receive the decoder, send 0.15 Bitcoins to our wallet: 1DVnM4Bz5fPwNi64o1du4vmJTK687HChzC
After sending the money, write to our operator in the chat and he will give you a decoder for your PC. The chat operator may respond in a delay, have patience. Have a nice day.
---
Оригинальные файлы проектов:
C:\Users\Nikolas\source\repos\uac\Release\uac.pdb
C:\Users\Nikolas\source\repos\encrypted-not-wall\Release\encrypted-not-wall.pdb
Файл EXE: wincproc.exe
Результаты анализов: VT + AR + IA + VMR
Обнаружения: 
DrWeb -> Trojan.MulDrop11.46878
BitDefender -> ThetaGen:NN.ZexaF.34100.EuW@a4KLf0bi
Microsoft -> Ransom:Win32/AnteFrigus!MSR
Rising -> Ransom.AnteFrigus!8.11789 (CLOUD)
TrendMicro -> Ransom_AnteFrigus.R002C0DCB20
Symantec -> ML.Attribute.HighConfidence

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (1st ID as Prometey / 2nd ID as AnteFrigus)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.