PassLock

PassLock Ransomware

(шифровальщик-НЕ-вымогатель, стиратель, деструктор) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем сообщает, что вернуть файлы невозможно. Оригинальное название: PassLock. На файле написано: PassLock.exe.

Обнаружения:
DrWeb -> Trojan.Encoder.30948
BitDefender -> Generic.Ransom.Small.00188FAB
ESET-NOD32 -> A Variant Of MSIL/Filecoder.HD
Microsoft -> Ransom:Win32/Genasom
Symantec -> Downloader
Tencent -> Msil.Trojan.Encoder.Wrql
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне! 

© Генеалогия: выясняется, явное родство с кем-то не доказано.

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .encrypted


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало января 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки: 

Содержание записки о выкупе:
Stop, your files have been encrypted!
---
What happened?
Some of your files have been encrypted. Photos, videos, documents and other files are not accessible because they have been encrypted with the AES-256 algorithm.
Dont waste time trying to recover encrypted files because you wont be able to.
Can I recover my files?
No. you cant recover your files if you dont have a backup. The files cannot be decrypted. 
Note
You can safely get rid of the virus.
Once deleted, the computer will no longer be infected.
You will never be able to get your original files back if you dont have a backup.
You can safely delete your encrypted files, they only take up memory.
Your system files have not been damaged.
---
[Exit]

Перевод записки на русский язык:
Стоп, ваши файлы зашифрованы!
---
Что произошло?
Некоторые из ваших файлов зашифрованы. Фото, видео, документы и другие файлы недоступны, т.к. они зашифрованы с алгоритмом AES-256.
Не тратьте время на попытки восстановить зашифрованные файлы, потому что вы не сможете.
Могу ли я восстановить мои файлы?
Нет, вы не можете восстановить ваши файлы, если у вас нет резервной копии. Файлы не могут быть расшифрованы.
Заметка
Вы можете безопасно избавиться от вируса.
После удаления компьютер не будет заражен.
Вы никогда не сможете вернуть свои оригинальные файлы, если у вас нет резервной копии.
Вы можете безопасно удалить ваши зашифрованные файлы, они лишь занимают память.
Ваши системные файлы не повреждены.
---
[Выход]

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр., кроме системных файлов. 

Вымогатель сообщает, что нет возможности расшифровать файлы. 
Уплата выкупа бесполезна! 

Файлы, связанные с этим Ransomware:
PassLock.exe - оригинальный исполняемый файл
PassLock.pdb - оригинальное название проекта
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\Davide\source\repos\PassLock\PassLock\obj\Release\PassLock.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Рекомендую обратиться по этой ссылке к Майклу Джиллеспи >>

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (n/a)
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.