Nomikon Ransomware
Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256+RSA, а затем требует выкуп в ~0.041-0.0.45 BTC / ~400$, чтобы вернуть файлы. По истечении срока выплаты сумма увеличивается в 2 раза (до ~800$). Оригинальное название: Nomikon 1.0 (указано в заголовке записки о выкупе и в логинах email вымогателей). На файле написано: ms.exe или что-то другое.
Обнаружения:
DrWeb -> нет образца вредоноса
BitDefender -> нет образца вредоноса
© Генеалогия: предыдущие варианты >> Nomikon 1.0
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: или .<random>
Примеры расширений:
.cnmhr
.jrmcu
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом.
Активность этого крипто-вымогателя пришлась на середину февраля 2020 г. По некоторым данным, ранние упоминания встречались с ноября 2019 года, но исполняемых образцов не было найдено. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записка с требованием выкупа называется: DECRYPT.html
Содержание записки о выкупе:
Your computer has been infected
All your documents, photos, databases and other important files are encrypted
To decrypt your files you need to buy our special software - UmtxCnMh4r-Decryptor
You can do it right now. Follow the instruction below. But remember that you do not have much time
UmtxCnMh4r-Decryptor
You have EXPIRED TIME
*If you do not pay on time the price will be doubled
*Time ends on February 19, 01:37:43
Current price
0.04114785 BTC $400 USD
After time ends 0.08229571 BTC $800 USD
---
Instructions
How to decrypt files?
You will not be able to decrypt the files yourself. If you try, you will lose your files forever.
To decrypt your files you need to buy our special software -
UmtxCnMh4r-Decryptor.
*If you need guarantees, use trial decryption below.
How to buy UmtxCnMh4r-Decryptor?
1. Send us an email to: nomikonfirst@tuta.io, nomikonsecond@tuta.io
In subject line of your message write your personal
ID: umtxcnmh4r-1813464-88f974fb-08d6-4347-8ae1-aaede4cdb8ba-cnmhr
2. Create a Bitcoin Wallet (we recommend Blockchain.info)
3. Buy the necessary amount of Bitcoins. Current price for buying is 0.08229571 BTC
4. Send 0.08229571 BTC to the address that you receive when
write to us
5. Wait for 3 confirmations
6. Download decryptor from the email message
*We guarantee that you can decrypt all your files quickly and safely.
---
Trial decryption
This file should be an encrypted image. Example
your-file-name.jpg.cnmhr
your-file-name.png.cnmhr
your-file-name.gif.cnmhr
Send us one image for free decryption
*Please note image size must be less than 5Mb.
---
Buy Bitcoin with Bank
Account or Bank Transfer
Coinmama BitPanda Korbit Coinfloor Coinfinity BTCDirect CEX.io Gemini Paymium Bity Safello Buy Bitcoin with Credit/Debit Card CEX.io Coinmama Huobi Bittylicious BitPanda CoinCafe Luno Buy Bitcoin with PayPal LocalBitcoins VirWox Paxful Buy Bitcoin with Cash or Cash Deposit LocalBitcoins BitQuick
---
Support
If you have any questions please write us to email
nomikonfirst@tuta.io
nomikonsecond@tuta.io
Our support team can solve any of your problems
---
FAQ
What happen?
Your files are encrypted and currently unavailable. By the way, it's possible to recover (restore), you need to follow our instructions. Otherwise, you can't return your data (NEVER).
When can I get my files back?
After payment, you will receive an email with decryptor software. It automatically decrypts all your files.
What guarantees?
It's just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will cooperate with us. It's not in our interests.
If I don't have enough money right now, can I pay later?
You can pay later, but in 3 days the price will be doubled.
What if I try to decrypt my files with another solution?
All your data is encrypted with very serious and powerful algorithms (AES256 and RSA-2048). Those algorithms now in use in military intelligence NSA and CIA. No one can help you to restore your data without our special decryptor. Do not try to modify files or use your own private key in this case you will lose your files forever.
Can I recover my old files via Windows recovery point or other solution?
Unfortunately no, all backups and Windows shadow copies were removed. In addition, hard disk sectors have been overwritten several times, in this case even computer forensics will not be able to recover your files.
Can I decrypt my document with trial decryption (for free)?
No, you can decrypt only one image.
Current price btc 0.08229571
Перевод записки на русский язык:
***
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
ms.exe
DECRYPT.html - название текстового файла
<random>.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: nomikonfirst@tuta.io, nomikonsecond@tuta.io
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: средняя.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта. Но есть более раннее свидетельство активности этого вымогателя 14 ноября 2019 года. Ссылка на сайт >>
Уже тогда это называлось Nomikon 1.0 Ransomware, поэтому описанный здесь вариант тот же самый по сути.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links:
Tweet on Twitter: myTweet
ID Ransomware (ID as Nomikon)
Write-up, Topic of Support
*
Thanks:
Michael Gillespie,
Andrew Ivanov (author)
***
to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles.
