Project23

Project23 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью Salsa20 + RSA-2048, а затем требует выкуп в $ 2200 в BTC, чтобы вернуть файлы. Оригинальное название: Project23. На файле написано: Project23.exe и CJKPVXJHST.exe

Обнаружения:
DrWeb -> Trojan.Encoder.31346
BitDefender -> Trojan.GenericKD.42885702
ESET-NOD32 -> MSIL/Filecoder.YP
Malwarebytes -> Ransom.Project23
Rising -> Trojan.DelShad!8.107D7 (CLOUD)
Symantec -> Trojan Horse
TrendMicro -> Ransom.MSIL.DHARMA.AA
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: ??? >> Project23

Изображение — логотип статьи

К зашифрованным файлам добавляется случайное "random[az]{8}" расширение, примеры: 
.smolapbb
.miblqugb
.njmhqbxu


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину марта 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется по шаблону: .<RANDOM_NAME>-README.txt

Примеры: 
SMOLAPBB-README.txt
MIBLQUGB-README.txt
NJMHQBXU-README.txt

Содержание записки о выкупе:
Good day, admin
All your files including pictures, videos, etc. have been encrypted and have the file extension .smolapbb
Your files are no longer available from now on, but each file can be decrypted again without any problems.
There is no way to decrypt your files without the unique decryption key and decryption program.
The decryption key is securely stored on our server. Only we can decrypt your files and we are the best specialists for restoring your data.
Of course we dont give the key for free. You have to pay $ 2200 for it.
We only accept bitcoin payments.
If you want to recover your files, please write us to the email shown below. We will give you the instructions how to recover your data and how to make the payment.
Our main email: neger@cock.li
Secondary email to contact us: neger2@cock.li
If you contact us, please write your personal identification in the subject so that we can identify you:
7e8e6ef743448bb6c46ab2def74*****
Attention!
Before you pay you can send us 3 files for free decryption as a guarantee.
You have 1 week to contact us, if you have not paid, we will double the price.
------------------------------------------------------------------------------------------------------------------
| Do not try to modify files or use any third-party software, this will result in the loss of your data forever! |
------------------------------------------------------------------------------------------------------------------


Перевод записки на русский язык:
Добрый день, админ
Все ваши файлы, включая изображения, видео и т.д., зашифрованы и имеют расширение .smolapbb
Ваши файлы больше не доступны, но каждый файл может быть снова расшифрован без каких-либо проблем.
Невозможно расшифровать ваши файлы без уникального ключа дешифрования и программы дешифрования.
Ключ дешифрования надежно хранится на нашем сервере. Только мы можем расшифровать ваши файлы, и мы лучшие специалисты по восстановлению ваших данных.
Конечно, мы не дадим ключ бесплатно. Вы должны заплатить $ 2200 за это.
Мы принимаем только биткойн-платежи.
Если вы хотите восстановить ваши файлы, пожалуйста, напишите нам на email-адрес, указанный ниже. Мы дадим вам инструкции, как восстановить ваши данные и как сделать платеж.
Наш основной email: neger@cock.li
Дополнительный email-адрес, чтобы связаться с нами: neger2@cock.li
Если вы напишите нам, пожалуйста, укажите вашу личную идентификацию в теме, чтобы мы могли идентифицировать вас:
7e8e6ef743448bb6c46ab2def74*****
Внимание!
Перед оплатой вы можете отправить нам 3 файла для бесплатной расшифровки в качестве гарантии.
У вас есть 1 неделя, чтобы связаться с нами, если вы не заплатили, мы удвоим цену.
-------------------------------------------------- -------------------------------------------------- --------------
| Не пытайтесь изменять файлы или использовать стороннюю программу, это приведет к потере ваших данных навсегда! |
-------------------------------------------------- -------------------------------------------------- --------------

Другим информатором жертвы выступает изображение, заменяющее обои Рабочего стола. 

  

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 



➤ Удаляет теневые копии файлов, отключает функции восстановления и исправления Windows на этапе загрузки общей командой:
vssadmin.exe delete shadows /all /quiet & %WINDIR%\System32\bcdedit.exe /set {default} recoveryenabled No & %WINDIR%\System32\bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
SMOLAPBB-README.txt - название файла с требованием выкупа
Project23.exe (CJKPVXJHST.exe)
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: neger@cock.li, neger2@cock.li
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Project23)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719, GrujaRS, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.