Somik1

Somik1 Ransomware

Rams1 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: somik1. На файле написано: somik1.exe. Написан на языке .NET

Обнаружения:
DrWeb -> Trojan.Encoder.30525
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
Malwarebytes -> Ransom.Somik1
Symantec -> Ransom.HiddenTear!g1
TrendMicro -> TROJ_GEN.R002C0OA520
Emsisoft -> Gen:Heur.Ransom.REntS.Gen.1 (B)
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне! 

© Генеалогия: ✂️ HiddenTear + .NET >> Somik1 > Rams1

Изображение — логотип статьи

К зашифрованным файлам добавляются расширения: 
.somik1
.arnoldmichel2@tutanota.com


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало января 2020 г. Первая загрузка на VT была 2 января 2020. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называются: 
WARNING.txt, WARNING2.txt, WARNING3.txt ...

Содержание записки о выкупе:
All your files have been encrypted due to a security problem with your PC.
If you want to restore them, write us to the e-mail ARNOLDMICHEL2@TUTANOTA.COM
Your PC id: ***
Free decryption as guarantee:
- Before payment you can send us 1-2 files for free decryption.
- Please note that files must NOT contain valuable information.
How to obtain Bitcoins:
The easiest way to buy bitcoins is LocalBitcoins site.
You have to register, click Buy bitcoins, and select the seller by payment method and price.
https://localbitcoins.net/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
- Do not rename encrypted files
- Do not try to decrypt your data using third party software, it may cause permanent data loss
- You are guaranteed to get the decryptor after payment
- Do not attempt to use the antivirus or uninstall the program
- This will lead to your data loss and unrecoverable
- Decoders of other users is not suitable to decrypt your files - encryption key is unique!

Перевод записки на русский язык:
Все ваши файлы были зашифрованы из-за проблем с безопасностью вашего ПК.
Если вы хотите восстановить их, напишите нам на email ARNOLDMICHEL2@TUTANOTA.COM
ID вашего ПК: ***
Бесплатная расшифровка как гарантия:
- Перед оплатой вы можете отправить нам 1-2 файла для бесплатной расшифровки.
- Обратите внимание, что файлы не должны содержать ценную информацию.
Как получить биткойны:
Самый простой способ купить биткойны - это сайт LocalBitcoins.
Вы должны зарегистрироваться, нажать 'Buy bitcoins' и выбрать продавца по способу оплаты и цене.
https://localbitcoins.net/buy_bitcoins
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Внимание!
- Не переименовывайте зашифрованные файлы
- Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных
- Вы гарантированно получите расшифровщик после оплаты
- Не пытайтесь использовать антивирус или удалить программу
- Это приведет к потере ваших данных и неисправности
- Декодеры других пользователей не подходят для расшифровки ваших файлов - ключ шифрования уникален!

Другой запиской с требованием выкупа выступает hta-файл: ***

Содержание записки о выкупе:
All your files are blocked!!!
---
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail ARNOLDMICHEL2@TUTANOTA.COM
---
Free decryption as guarantee
- Before payment you can send us 1-2 files for free decryption.
- Please note that files must NOT contain valuable information.
Contact information also in files WARNING.txt on your desktop
---
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
https://localbitcoins.net/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
http://www.coindesk.com/inf ormation/how-can-i-buy-bitcoins/
---
Attention!
- Do not rename encrypted files
- Do not try to decrypt your data using third party software, it may cause permanent data loss
- You are guaranteed to get the decrypt or after payment
- Do not attempt to use the antivirus or uninstall the program

Перевод записки на русский язык:
Все ваши файлы заблокированы !!!
---
Все ваши файлы были зашифрованы из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам на email ARNOLDMICHEL2@TUTANOTA.COM
---
Бесплатная расшифровка как гарантия
- Перед оплатой вы можете отправить нам 1-2 файла для бесплатной расшифровки.
- Обратите внимание, что файлы не должны содержать ценную информацию.
Контактная информация также в файлах WARNING.txt на вашем рабочем столе
---
Как получить биткойны
Самый простой способ купить биткоины - это сайт LocalBitcoins. Вам надо зарегистрироваться, выбрать 'Buy bitcoins' и выбрать продавца по способу оплаты и цене.
https://localbitcoins.net/buy_bitcoins
Также вы можете найти другие места, чтобы купить Биткоины и руководство для начинающих здесь:
http://www.coindesk.com/inf ormation/how-can-i-buy-bitcoins/
---
Внимание!
- Не переименовывайте зашифрованные файлы
- Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных
- Вы гарантированно получите расшифровку или после оплаты
- Не пытайтесь использовать антивирус или удалить программу

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Пытается долго спать (больше двух минут).
➤ Изменяет файлы в папке расширений Google Chrome, действия выглядят как кража личных данных.

Список файловых расширений, подвергающихся шифрованию:
.3ds, .3DS, .3fr, .3FR, .7z, .asp, .aspx, .avi, .AVI, .bmp, .BMP, .css, .CSS, .csv, .CSV, .doc, .DOC, .docx, .DOCX, .flv, .FLV, .GIF, .gif, .html, .jpeg, .JPEG, .jpg, .JPG, .mdb, .mov, .MOV, .mp3, .MP3, .mp4, .MP4, .MPEG, .mpeg, .odt, .PDF, .pdf, .php, .PHP, .png, .PNG, .ppt, .pptx, .psd, .rar, .RAR, .raw, .RAW, .sql, .tiff, .TIFF, .txt, .TXT, .WMV, .wmv, .xls, .XLS, .xlsx, .XLSX, .xml, .zip, .ZIP (65 расширений с повторами в верхнем регистре). 

Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
WARNING.txt
WARNING2.txt
WARNING3.txt
WARNING4.txt
WARNING5.txt
WARNING6.txt
somik1.exe
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
G:\mal\SOSED\somik1-2.0\somik1\obj\Release\somik1.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: pofig.top
Email: arnoldmichel2@tutanota.com
BTC: 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 16 января 2020 (предположительно есть субъективная связь):
Пост в Твиттере >>
Расширение: .rams1
Записка: ReadmeForDecryption.txt
Email: -
Файл: Rams1.exe
Результаты анализов: VT
➤ Обнаружения: 
DrWeb -> Trojan.EncoderNET.HiddenTear.1
BitDefender -> Gen:Heur.Ransom.RTH.1
McAfee -> Ransomware-FTD!1E6A96CCB0D9
➤ Содержание записки о выкупе: 
Your files have been encryted with Rams1, your id number is ***, follow these
instructions: http://bercerramsh.onion/***
---
Сравнение кода не подтверждает кодовую связь, но не исключает субъективную. 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + Tweet + myTweet
 ID Ransomware (ID as Somik1)
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie, GrujaRS, Akhmed Taia
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.