вторник, 4 февраля 2020 г.

RagnarLocker

RagnarLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель шифрует данные крупных компаний и бизнес-пользователей с помощью AES + RSA-2048, а затем требует выкуп в ~20-60 BTC, чтобы вернуть файлы. Оригинальное название: RagnarLocker или Ragnar_Locker. На файле написано: VSERV.EXE.

Обнаружения:
DrWeb -> Trojan.MulDrop11.37871
BitDefender -> Gen:Heur.Ransom.Imps.1
Avira (no cloud) -> TR/AD.RansomHeur.gkqib
ESET-NOD32 -> A Variant Of Win32/Filecoder.OAH, A Variant Of Win32/Filecoder.RagnarLocker
Rising -> Ransom.Agent!8.6B7 (CLOUD)
TrendMicro -> Ransom.Win32.RAGNAR.THBAABOA

© Генеалогия: выясняется, явное родство с кем-то не доказано.
Изображение — логотип статьи

К зашифрованным файлам добавляется расширение по шаблону: 
.ragnar_XXXXXXXX
.ragnar_<ID{8}

Примеры таких расширений: 
.ragnar_44027CDE
.ragnar_46d54535


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец января - начало февраля 2020 г. Дата создания: 31 января 2020. Возможно, еще был более ранний вариант из декабря 2019 года. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется по шаблону: 
RGNR_XXXXXXXX.txt
RGNR_<ID>.txt

Пример записок о выкупе: 
RGNR_44027CDE.txt
RGNR_46d54535.txt

Содержание записки о выкупе:
                                              Hello COMPANY !
************************************************************************************
 If you reading this message, then your network was PENETRATED and all of your files and data has been ENCRYPTED
                                              by RAGNAR_LOCKER !
************************************************************************************
*********What happens with your system ?************
Your network was penetrated, all your files and backups was locked! So from now there is NO ONE CAN HELP YOU to get your files back, EXCEPT US.
You can google it, there is no CHANCES to decrypt data without our SECRET KEY.
But don't worry ! Your files are NOT DAMAGED or LOST, they are just MODIFIED. You can get it BACK as soon as you PAY.
We are looking only for MONEY, so there is no interest for us to steel or delete your information, it's just a BUSINESS $-)
HOWEVER you can damage your DATA by yourself if you try to DECRYPT by any other software, without OUR SPECIFIC ENCRYPTION KEY !!!
Also, all of your sensitive and private information were gathered and if you decide NOT to pay,
we will upload it for public view !
****
***********How to get back your files ?******
To decrypt all your files and data you have to pay for the encryption KEY :
BTC wallet for payment: 1E6EjTqYPHLj1uovPKKRXzMpPCcpAcVuiU
Amount to pay (in Bitcoin): 60
****
***********How much time you have to pay?**********
* You should get in contact with us within 2 days after you noticed the encryption to get a better price.
* The price would be increased by 100% (double price) after 14 Days if there is no contact made.
* The key would be completely erased in 21 day if there is no contact made or no deal made. 
Some sensetive information stolen from the file servers would be uploaded in public or to re-seller.
****
***********What if files can't be restored ?******
To prove that we really can decrypt your data, we will decrypt one of your locked files ! 
Just send it to us and you will get it back FOR FREE.
The price for the decryptor is based on the network size, number of employees, annual revenue. 
Please feel free to contact us for amount of BTC that should be paid.
****
! IF you don't know how to get bitcoins, we will give you advise how to exchange the money.
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
! HERE IS THE SIMPLE MANUAL HOW TO GET CONTCAT WITH US !
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
1) Go to the official website of TOX messenger ( https://tox.chat/download.html )
2) Download and install qTOX on your PC, choose the platform ( Windows, OS X, Linux, etc. )
3) Open messenger, click "New Profile" and create profile.
4) Click "Add friends" button and search our contact 7D509C5BB14B1B8CB0A3338EEA9707AD31075868CB9515B17C4C0EC6A0CCCA750CA81606900D
5) For identification, send to our support data from ---RAGNAR SECRET---
IMPORTANT ! IF for some reasons you CAN'T CONTACT us in qTOX, here is our reserve mailbox ( hello_company@protonmail.com ) send a message with a data from ---RAGNAR SECRET---
WARNING!
-Do not try to decrypt files with any third-party software (it will be damaged permanently)
-Do not reinstall your OS, this can lead to complete data loss and files cannot be decrypted. NEVER!
-Your SECRET KEY for decryption is on our server, but it will not be stored forever. DO NOT WASTE TIME ! 
***********************************************************************************
---RAGNAR SECRET---
MmE2RjY2N2YwNUZlYm*** [всего 88 знаков]
---RAGNAR SECRET---
***********************************************************************************


Перевод записки на русский язык:
                                              Привет КОМПАНИЯ!
************************************************** **********************************
 Если вы читаете это сообщение, значит, ваша сеть была ВЗЛОМАНА, а все ваши файлы и данные зашифрованы.
                                                 RAGNAR_LOCKER!
************************************************** **********************************
********* Что происходит с вашей системой? ************
Ваша сеть была взломана, все ваши файлы и резервные копии заблокированы! Таким образом, отныне НИКТО НЕ ПОМОЖЕТ ВАМ вернуть ваши файлы, КРОМЕ НАС.
Вы можете гуглить, нет никаких ШАНСОВ для расшифровки данных без нашего СЕКРЕТНОГО КЛЮЧА.
Но не волнуйся! Ваши файлы не повреждены и не потеряны, они просто изменены. Вы можете получить их обратно, как только заплатите.
Нам нужны только ДЕНЬГИ, поэтому нас не интересует, как украсть или удалить вашу информацию, это просто БИЗНЕС $ -)
ОДНАКО вы можете повредить свои ДАННЫЕ сами, если попытаетесь расшифровать их с помощью любой другой программы, без НАШЕГО СПЕЦИАЛЬНОГО КЛЮЧА ШИФРОВАНИЯ !!!
Кроме того, вся ваша ценная и конфиденциальная информация была собрана, и если вы НЕ заплатите,
мы загрузим его для всеобщего обозрения!
****
*********** Как вернуть ваши файлы? ******
Чтобы расшифровать все ваши файлы и данные, вы должны заплатить за ключ шифрования:
BTC кошелек для оплаты: 1E6EjTqYPHLj1uovPKKRXzMpPCcpAcVuiU
Сумма к оплате (в биткойнах): 60
****
*********** За какое время вы должны заплатить? **********
* Вам нужно связаться с нами в течение 2 дней после того, как вы заметили шифрование, чтобы получить лучшую цену.
* Цена будет увеличена на 100% (двойная цена) через 14 дней, если нет контакта.
* Ключ будет полностью удален через 21 день, если не будет установлен контакт или не будет заключена сделка.
Некоторая содержательная информация, украденная с файловых серверов, будет загружена в открытый доступ или перепродана.
****
*********** Что, если файлы не могут быть восстановлены? ******
Чтобы доказать, что мы правда можем расшифровать ваши данные, мы расшифруем один из ваших заблокированных файлов!
Просто отправьте его нам, и вы получите его БЕСПЛАТНО.
Цена на расшифровщик зависит от размера сети, количества сотрудников, годового дохода.
Пожалуйста, не стесняйтесь обращаться к нам за сумму BTC, которая должна быть оплачена.
****
! Если вы не знаете, как получить биткойны, мы дадим вам совет, как обменять деньги.
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!
! ЗДЕСЬ ПРОСТОЕ РУКОВОДСТВО КАК ПОЛУЧИТЬ КОНТАКТ С НАМИ!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!
1) Зайдите на официальный сайт мессенджера TOX (https://tox.chat/download.html)
2) Загрузите и установите qTOX на свой ПК, выберите платформу (Windows, OS X, Linux и т. Д.)
3) Откройте мессенджер, нажмите «Новый профиль» и создайте профиль.
4) Нажмите кнопку «Добавить друзей» и найдите наш контакт 7D509C5BB14B1B8CB0A3338EEA9707AD31075868CB9515B17C4C0EC6A0CCCA750CA81606900D
5) Для идентификации отправьте в нашу службу поддержки данные от --- RAGNAR SECRET ---
ВАЖНО ! Если по каким-то причинам вы не можете связаться с нами в qTOX, вот наш резервный почтовый ящик ( hello_company@protonmail.com ) пришлите сообщение с данными из --- RAGNAR SECRET ---
ПРЕДУПРЕЖДЕНИЕ!
-Не пытайтесь расшифровать файлы любой сторонней программой (оно повредит данные)
-Не переустанавливайте свою ОС, это может привести к полной потере данных, и файлы не будут расшифрованы. НИКОГДА!
-Ваш СЕКРЕТНЫЙ КЛЮЧ для расшифровки находится на нашем сервере, но он не будет храниться вечно. НЕ ТРАТЬ ВРЕМЯ !



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


➤ Перед шифрованием проверяет расположение компьютера и завершает работу, если обнаруживается его принадлежность к следующим странам:

Россия, Азербайджан, Армения, Грузия, Казахстан, Киргизстан, Молдавия, Таджикистан, Туркмения, Узбекистан, Украина.

➤ Удаляет теневые копии файлов командами:
WMIC.exe shadowcopy delete (PID: 3976) 
 vssadmin.exe vssadmin delete shadows /all /quiet

 Перед шифрованием завершает работу следующих служб, среди которых есть программы для удаленного управления: 
vss
sql
memtas
mepocs
sophos
veeam
backup
pulseway
logme
logmein
connectwise
splashtop
kaseya

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.



 RagnarLocker пропускает следующие типы файлов:
.sys
.dll
.lnk
.msi
.drv
.exe

 RagnarLocker пропускает файлы и директории, включающие следующие названия:
Windows
Windows.old
Internet Explorer
Google
Opera
Opera Software
Mozilla
Mozilla Firefox
$Recycle.Bin
ProgramData
All Users
bootmgr
bootmgr.efi
bootmgfw.efi
iconcache.db
ntldr
thumbs.db
RGNR_
.ragnar_
kernel32.dll
autorun.inf
boot.ini
bootfont.bin
bootsect.bak
desktop.ini
ntuser.dat
ntuser.dat.log
ntuser.ini

 Маркер файлов "RAGNAR" добавляется в конец каждого зашифрованного файла. 

Файлы, связанные с этим Ransomware:
VSERV.EXE
RGNR_44027CDE.txt - пример записки о выкупе
RGNR_46d54535.txt - пример записки о выкупе
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: hello_company@protonmail.com
Слово "company" заменяет то, что есть в оригинальной записке. 
BTC: 1E6EjTqYPHLj1uovPKKRXzMpPCcpAcVuiU
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >> + IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 11 февраля 2020:
Пост в Твиттере >>
Результаты анализов: VT + VMR






=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as RagnarLocker)
 Write-up, Topic of Support
 * 
Added later: 
Write-up by BleepingComputer (on February 10, 2020)
*
 Thanks: 
 dnwls0719, Michael Gillespie
 Andrew Ivanov (author)
 Vitali Kremez, Lawrence Abrams
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles.

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано. Чтобы написать комментарий, вы должны иметь аккаунт Google.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана. Каб напісаць каментар, вы павінны мець аккаунт Google.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано. Щоб написати коментар, ви повинні мати акаунт Google.

ПАЖЊА!!!
Нови коментари су модерирани. Све, осим спама, ускоро ће бити објављено. Да бисте напишете коментар, морате да имате Google рачун.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады. Пікір жазу үшін сізге google тіркелгісі болуы керек.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted. To write here a comment, you must have a Google account.

BEACHTUNG!!!
Ihr neuer Kommentar wird moderiert. Wiederhole es bitte nicht. Spam wird gelöscht. Um hier einen Kommentar zu schreiben, benötigen Sie ein Google-Konto.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

এটা পড়ুন !!!
আপনার নতুন মন্তব্য সংযত করা হবে। এটা পুনরাবৃত্তি করবেন না দয়া করে। স্প্যাম মুছে ফেলা হবে।

انتباه!
سيتم الإشراف على تعليقاتك الجديدة. لا تكررها من فضلك. سيتم حذف الرسائل غير المرغوب فيها.

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Постоянные читатели

Получать письма / Follow by E-mail

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *

Norton Internet Security - комплексная антивирусная защита

Norton Internet Security - комплексная антивирусная защита
Клуб Norton: Ежедневная помощь по продуктам Norton