Sapphire-LAG

Sapphire Ransomware

LAG Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $250 BTC, чтобы вернуть файлы. Оригинальное название: Sapphire. На файле написано: GachaLife_Update.exe. Написан на языке .NET . 

---
Обнаружения: 
DrWeb -> Trojan.MulDrop12.44928
BitDefender -> Gen:Heur.Ransom.MSIL.1
ALYac -> Trojan.Ransom.Stupid
Avira (no cloud) -> TR/Ransom.nwhkp
ESET-NOD32 -> A Variant Of MSIL/Filecoder.FG

McAfee -> RDN/Ransom
Malwarebytes -> Ransom.Sapphire

Microsoft -> Ransom:MSIL/Sapphire.DEA!MTB
Symantec -> Trojan Horse

Tencent -> Msil.Trojan.Diztakun.Dzah
TrendMicro -> Ransom.Win32.SAPPHIRE.A
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне! 

© Генеалогия: Stupid >> LAG

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .VIVELAG


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя был найден в конце мая 2020 г. Ориентирован на франкоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки: 

Содержание записки о выкупе: 

Vos Fichiers, Photos, Video on été oncrypté par Dystic ot toute la ligue anti gacha : (

Vus que je me suis levé du bon pied: je n'ai pas (encore) suprimé les données, ils sont juste crypté dans un format illisible.

Pour les décrypter. Payer la ligue anti gacha 250$ en bitoina pour reÇevoir une clé de déchiffrement unique et fidèle u ce pc viu discord.

Si vous payez pas/utilisez un anti-virus/redénarrer le pc/Supriner le logiciel, vos fichiers et données seront cry

Перевод записки на русский язык: 

Ваши файлы, фото, видео зашифрованы Dystic от всей лиги анти-гача: (

Увидев, что я встал на правильную ногу: я (еще) не удалил данные, они просто зашифрованы в нечитаемый формат.

Расшифровать их. Заплатите лиге анти-гача 250$ в битойнах, чтобы получить уникальный и точный ключ дешифрования на этом компьютере в Discord.

Если вы не платите / используете антивирус / перезапускаете компьютер / удалите программу, будете плакать по вашим файлам и данным 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Код дешифрирования: 052250058205075025075207820

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр. 

Файлы, связанные с этим Ransomware:
GachaLife_Update.exe - название вредоносного файла

GachaLife_Update.pdb - название файла проекта

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

D:\Sapphire-Ransomware-master\Sapphire Ransomware\obj\Debug\GachaLife_Update.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>

Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая. 
Подробные сведения собираются регулярно. Присылайте образцы. 

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта. 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Stupid)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Zorab

Zorab Ransomware

Aliases: Zorba, ZRB, Dependent, SarCov

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256, а затем требует написать на email вымогателей, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: Zorab. На файле написано: dependent.exe или что-то еще. 

Обнаружения:
DrWeb -> Trojan.Encoder.31931
BitDefender -> DeepScan:Generic.Ransom.SarCov.416D, Trojan.GenericKD.33924719
Avira (no cloud) -> TR/Dropper.Gen
ESET-NOD32 -> A Variant Of Generik.HYCLOTV
Malwarebytes -> Ransom.Zorab, Ransom.Zorba
Microsoft -> Ransom:Win32/Zorba.AA!MTB
Symantec ->  Downloader, Trojan.Gen.MBT
Tencent -> Msil.Trojan.Dothetuk.Akos, Msil.Trojan.Dothetuk.Wtod
TrendMicro -> Ransom_Zorba.R011C0DEU20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: Jigsaw? >> Zorab

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .ZRB


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: --DECRYPT--ZORAB.txt

Содержание записки о выкупе:
-+-= ZORAB =-+-
Attention! Attention! Attention!
Your documents, photos, databases and other important files are encrypted and have the extension: .ZRB
Don't worry, you can return all your files!
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files,
if you want to decrypt your files
The only method of recovering files is to purchase decrypt tool
This tool will decrypt all your encrypted files.
To get this software you need write on our e-mail: zorab28@protonmail.com
What guarantees do we give to you?
Its just a business, we absolutely do not care about you and your deals, except getting benefits.
You can send 2 your encrypted file from your PC and we decrypt it for free.
+--Warning--+
DONT try to change files by yourself, DONT use any third party software for restoring your data
Your personal id: ***

Перевод записки на русский язык:
-+-= ZORAB =-+-
Внимание! Внимание! Внимание!
Ваши документы, фотографии, базы данных и другие важные файлы зашифрованы и имеют расширение: .ZRB
Не волнуйтесь, вы можете вернуть все свои файлы!
Единственный способ восстановления файлов - приобрести для вас инструмент дешифрования и уникальный ключ.
Эта программа расшифрует все ваши зашифрованные файлы,
если вы хотите расшифровать ваши файлы
Единственный способ восстановления файлов - это приобрести инструмент расшифровки
Этот инструмент расшифрует все ваши зашифрованные файлы.
Чтобы получить эту программу, вам надо написать на наш email: zorab28@protonmail.com
Какие гарантии мы даем вам?
Это просто бизнес, нам абсолютно безразличны вы и ваши сделки, кроме получения льгот.
Вы можете отправить 2 ваших зашифрованных файла с вашего компьютера, и мы расшифруем их бесплатно.
+-- Предупреждение --+
НЕ пробуйте изменить файлы самостоятельно, НЕ используйте любую стороннюю программу для восстановления ваших данных
Ваш личный id: ***

Технические детали

Распространяется под видом дешифровщика для файлов, зашифрованных STOP-Djvu Ransomware. Он называется Decrypter DJVU. 

Разумеется, он не расшифровывает файлы, а наоброт шифрует уже зашифрованные и все другие файлы жертвы другим шифровальщиком. Когда пострадавший о STOP Ransomware пользователь вводит свои данные в фальшивый расшифровщик и нажимает "Start Scan", фальшивый дешифровщик извлекает другой исполняемый файл crab.exe и сохраняет его в папке "Temp". 

Кроме этого Zorab может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
--DECRYPT--ZORAB.txt - название файла с требованием выкупа
dependent.exe - исполняемый файл вымогателя
crab.exe (Decryptor Djvu mlagham.exe) - извлекаемый файл шифровальщика
Decryptor Djvu mlagham.pdb - название оригинального проекта вымогателя
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Desktop\files_Now2\files_Now2\Project_Zorab-Default\Project_decryptor\Project_decryptor\Project_decryptor\obj\x86\Debug\Decryptor Djvu mlagham.pdb
C:\Users\User\AppData\Local\Temp\crab.exe

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\ShortCutInfection
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: zorab28@protonmail.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT>>
🐞 Intezer analysis >>  IA>>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 21 августа 2020:
Пост в Твиттере >>
Расширение: .ZRB
Записка: --DECRYPT--ZORAB.txt
Email: zorab28@protonmail.com
Файл: Decryptor Djvu mlagham.exe
Результаты анализов: VT + AR + IA

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

Внимание!
Файлы можно дешифровать!
Скачайте Emsisoft Decryptor for Zorab по этой ссылке >>

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Zorab)
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

UnluckyWare

UnluckyWare Ransomware

UnlockYourFiles Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $50 в BTC, чтобы вернуть файлы. Оригинальное название: UnluckyWare. На файле написано: UnluckyWare.exe.
---
Обнаружения:
DrWeb -> Trojan.Encoder.31932
BitDefender -> Gen:Heur.Ransom.HiddenTears.1
ALYac -> Trojan.Ransom.HiddenTear
Avira (no cloud) -> HEUR/AGEN.1130184
ESET-NOD32 -> A Variant Of MSIL/Filecoder.XL
Malwarebytes -> Ransom.ByteLocker
Rising -> Ransom.HiddenTear!8.DC9E (CLOUD)
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom.MSIL.BYTELOCKER.SM
---

© Генеалогия: ✂️ HiddenTear >> ByteLocker + ✂️ Jigsaw > UnluckyWare

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .unwa


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Запиской с требованием выкупа выступает экран блокировки с таймером: 

Содержание записки о выкупе:
WARNING! ALL YOUR FILES ARE ENCRYPTED!
Your important files, documents, pictures, etc. Have been encrypted.
Here is a complete list of encrypted files, you can verify this manually.
Encryption was produced using AES-256 in order to unlock your files you need to pay $50 dollars for the AES Key.
The key will only be available for a limited time, after this the key will no longer be able to be purchased.
You can contact us on email : UnluckyWare@torbox3uiot6wchz.onion if we didn't respond contact us on this email : UnluckyWare@mail2tor.com
Please Provide us your ID when you want to send email.
Our Bitcoin Adress : ***
Your ID : ***

Перевод записки на русский язык:
ПРЕДУПРЕЖДЕНИЕ! ВСЕ ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!
Ваши важные файлы, документы, фотографии и т. д. зашифрованы.
Вот полный список зашифрованных файлов, вы можете проверить это вручную.
Шифрование произведено с AES-256, чтобы разблокировать файлы, вам надо заплатить 50$ за ключ AES.
Ключ будет доступен только ограниченное время, после этого ключ уже не сможет быть куплен.
Вы можете связаться с нами по email: UnluckyWare@torbox3uiot6wchz.onion, если мы не ответили, пишите нам по этому адресу: UnluckyWare@mail2tor.com
Пожалуйста, предоставьте нам свой ID, если вы хотите отправить email.
Наш Биткойн-адрес : ***
Ваш ID : ***


Изображение 000000051470.jpg, заменяющее обои Рабочего стола не содержит видимого текста, а только демонстрирует картинку Jigsaw, используемую в Jigsaw Ransomware с 2016 года. Загружается с сайта images.itnewsinfo.com.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Тип запуска: прямой. Без каких-либо вспомогательных файлов. 

➤ Строки кода, демонстрирующие связь с предыдущим проектом Bytelocker, на основе которого был сделан UnluckyWare.

➤ Скриншоты от исследователей:

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
UnluckyWare.exe - исполняемый файл крипто-вымогателя
UnluckyWare.pdb - оригинальное название файла проекта
000000051470.jpg - картинка Jigsaw

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Desktop\Generator\Bytelocker\obj\Debug\UnluckyWare.pdb
 C:\Users\User\AppData\Local\Temp\UnluckyWare.exe
 C:\Windows\000000051470.jpg

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://images.itnewsinfo.com/lmi/articles/grande/000000051470.jpg
Email: UnluckyWare@torbox3uiot6wchz.onion
UnluckyWare@mail2tor.com
BTC: ***
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

ByteLocker Ransomware  - февраль 2018 

ByteLocker Ransomware - 2019 без указания месяца 

UnluckyWare Ransomware - май 2020
UnlockYourFiles - апрель-май 2021

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 30 апреля 2021:

Сообщение >>

Расширение: .485

Файл: UnlockYourFiles.exe

Результаты анализов: VT + IA + AR

Вариант от 21 мая 2021:

Сообщение >>

Расширение: .505

Номер расширения может быть и другим. 

Email: 4lok3r@protonmail.com, 4lok3r@tutanota.com

BTC: bc1qlnzcep4l4ac0ttdrq7awxev9ehu465f2vpt9x0

Файл: UnlockYourFiles.exe

Результаты анализов: VT + IA + JSB  

Вариант от 6 июля 2021:

Сообщение >>

Самоназвание: JanusLocker Ransomware

Расширение: .HACKED (потом удаляется). 

Email: TwoHearts911@protonmil.com

BTC: 31jBiv7Vxu8t1CvMFKPeBTbQ7gCA2pNzyN

Пароль дешифрования хранится в реестре HKEY_CURRENT_USER\Software\ByteLocker ключе "id" в виде строки base64, но вылетает при расшифровке. 

Файл проекта: C:\Users\Nabil\Desktop\Januslocker\Bytelocker\obj\Debug\Bytelocker.pdb

Результаты анализов: VT + IA

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34124

BitDefender -> Gen:Heur.Ransom.HiddenTears.1

ESET-NOD32 -> A Variant Of MSIL/Filecoder.XL

Malwarebytes -> Malware.AI.3871211566

Microsoft -> Ransom:MSIL/HiddenTear.AB!MTB

Symantec -> ML.Attribute.HighConfidence

TrendMicro -> Ransom.MSIL.BYTELOCKER.SM

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as UnluckyWare)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719, Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Banks1

Banks1 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-4096, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: ransom.exe

Обнаружения:
DrWeb -> Trojan.Encoder.31929
BitDefender -> Gen:Heur.Ransom.MSIL.1
Avira (no cloud) -> TR/Kryptik.jbrvu
ESET-NOD32 -> A Variant Of MSIL/Kryptik.VTX
Malwarebytes -> Ransom.Banks.MSIL
Rising -> Trojan.Kryptik!8.8 (CLOUD)
Symantec -> Downloader
TrendMicro -> Trojan.Win32.WACATAC.USXVPES20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия:  ✂️ Dharma + ??? >> Banks1

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .banks1

Фактические использует составное расширение по шаблону: .id-XXXXXXXX.[jerjis@tuta.io].banks1
Примеры расширений: 
.id-C4BA3647.[jerjis@tuta.io].banks1
.id-085CDA53.[jerjis@tuta.io].banks1

Таким образом он полностью использует шаблон составного расширения, который используется в Dharma Ransomware. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало/середину марта 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: ReadMe.txt

Содержание TXT-записки о выкупе:
What happend for my computer?
All your files are encrypted due a security issue in your computer.
What should i do?
You have 48 hours to email us.Otherwise, the decryption price will increase or become impossible.
Your email must contain your unique id and the unique key.
your unique id is C4BA3647
your unique key is R/I1kEEAjm9uaTFx3iFyq3qFYIUT/wsZ*** [всего 684 знака]
Email Address: jerjis@tuta.io
If you didn't recive any response till 24 hours,Send email to this address: jerjis@tutamail.com
What is our guarantee?
We decrypt two files for you Free to be sure that we are able to recover your files.

Перевод TXT-записки на русский язык:
Что случилось с моим компьютером?
Все ваши файлы зашифрованы из-за проблем безопасности на вашем компьютере.
Что мне делать?
У вас есть 48 часов, чтобы написать нам. Иначе цена расшифровки увеличится или станет невозможной.
Ваш email должен содержать ваш уникальный id и уникальный ключ.
Ваш уникальный id C4BA3647
Ваш уникальный ключ - R/I1kEEAjm9uaTFx3iFyq3qFYIUT/wsZ*** [всего 684 знака]
Email-адрес: jerjis@tuta.io
Если вы не получили ответа за 24 часа, отправьте email на этот адрес: jerjis@tutamail.com
Какая наша гарантия?
Мы расшифруем два файла для вас Бесплатно, чтобы заверить, что мы сможем восстановить ваши файлы.

Содержание HTA-записки о выкупе:
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail jerjis@tuta.io
Write this ID in the title of your message C4BA3647
In case of no answer in 24 hours write us to this e-mail:jerjis@tutamail.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files. 
Free decryption as guarantee
Before paying you can send us up to 5 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.) 
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price. 
https://localbitcoins.com/buy_bitcoins 
Also you can find other places to buy Bitcoins and beginners guide here: 
http://www.coindesk.com/information/how-can-i-buy-bitcoins/ 
Attention!
Do not rename encrypted files. 
Do not try to decrypt your data using third party software, it may cause permanent data loss. 
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam. 

Перевод HTA-записки на русский язык:
Все ваши файлы зашифрованы!
Все ваши файлы зашифрованы из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам на email jerjis@tuta.io
Напишите этот ID в заголовке вашего сообщения C4BA3647
В случае отсутствия ответа за 24 часа напишите нам на этот email: jerjis@tutamail.com
Вы должны заплатить за расшифровку в биткойнах. Цена зависит от того, как быстро вы напишите нам. После оплаты мы вышлем вам инструмент, который расшифрует все ваши файлы.
Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить нам до 5 файлов для бесплатной расшифровки. Общий размер файлов должен быть менее 4 МБ (не в архиве), и файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т. д.)
Как получить биткойны
Самый простой способ купить биткойны - это сайт LocalBitcoins. Вы должны зарегистрироваться, нажать 'Купить биткойны' и выбрать продавца по способу оплаты и цене.
https://localbitcoins.com/buy_bitcoins
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к необратимой потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к повышению цены (они добавляют свою плату к нашей), или вы можете стать жертвой мошенничества.

/// Примечательно, что заимствование типа, названия (info.hta) и содержания hta-записки из проекта Dharma Ransomware является уже вторым заимствованием у этих вымогателей. Это может говорить о том, что не стали заморачиваться и просто взяли чужие готовые элементы, а также о том, что имитация визуальных элементов более известного вымогательского проекта может быть способом выдать себя за другого. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Подробнее о шифровании.
По сообщению Майкла Джиллеспи шифровальщик использует очень, очень глупую комбинацию из RNGCryptoServiceProvider, base64, MD5, SHA256, base64 (еще раз), а затем RFC2898 для генерации ключа для файла. Шифрование выполняется с алгоритмом AES-256, ключ защищен с помощью RSA-4096 (это то, что вы видите в записке с требованием выкупа как код base64 684 знаков).

➤ Удаляет теневые копии файлов. Отключает файервол. Добавляет в Автозагрузку Windows свою копию и HTA-файл с помощью команд:
 file.exe
 cmd.exe
 netsh.exe netsh advfirewall set currentprofile state off
 cmd.exe
 netsh.exe netsh firewall set opmode mode=disable
 cmd.exe "cmd" /C vssadmin Delete Shadows /All /Quiet
 vssadmin.exe vssadmin Delete Shadows /All /Quiet
 mshta.exe "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\info.hta
 ransom.exe
 cmd.exe
 netsh.exe netsh advfirewall set currentprofile state off
 cmd.exe
 netsh.exe netsh firewall set opmode mode=disable
 cmd.exe "cmd" /C vssadmin Delete Shadows /All /Quiet
 vssadmin.exe vssadmin Delete Shadows /All /Quiet

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
ransom.exe - исполняемый файл крипто-вымогателя
ReadMe.txt - название файла с требованием выкупа
 info.hta - название HTA-файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ransom.exe

C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\info.hta

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: jerjis@tuta.io, jerjis@tutamail.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Banks1)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.