BigLock

BigLock Ransomware

Aliases: CoronaLock, Corona-lock, CoronaLocker

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью ChaCha, AES + RSA для ключа, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: 2020-05-22_17-36-19.exe или еще что-то.
---
Обнаружения:
DrWeb -> Trojan.Encoder.31878, Trojan.Encoder.32410, Trojan.Encoder.33998
BitDefender -> Trojan.GenericKDZ.67331, Trojan.GenericKD.34327466
Avira (no cloud) -> TR/AD.RansomHeur.eku
Emsisoft -> Trojan.Miner (A)
ESET-NOD32 -> A Variant Of Win32/Kryptik.HDOJ, A Variant Of Win64/Filecoder.CC, A Variant Of Win32/Filecoder.OEY
Malwarebytes -> Trojan.MalPack.GS, Ransom.Pandemic
Microsoft -> Ransom:Win32/Coronalock.DEA!MTB, Trojan:Win32/HtaCrypt.D!MTB
Rising -> Trojan.Kryptik!1.C698 (CLOUD)
Symantec -> ML.Attribute.HighConfidence, Trojan.Gen.2
TrendMicro -> TROJ_FRS.VSNW16E20, Ransom.Win64.QRNALOCK.AA
VBA32 -> Malware-Cryptor.Limpopo
---

© Генеалогия: ✂️ из разных  >> BigLock (CoronaLock) > Sojusz

Изображение — логотип статьи

К зашифрованным файлам добавляется одно из расширений: 
.biglock
.corona-lock


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2020 г. и продолжилась в 2020-2021 гг. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: 
!!!READ_ME!!!.TXT - ранний вариант от 21 мая 2020
README_LOCK.TXT - второй вариант от 22-23 мая 2020

Содержание записки !!!READ_ME!!!.TXT:
##############################################
################# YOUR FILES WERE ENCRYPTED #########
########## AND MARKED BY EXTENSION .biglock ############
##############################################
------------------------------------------------------------------------------
All your important files have been encrypted!
------------------------------------------------------------------------------
Your files are safe! Only modified. (ChaCha+AES)
ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.
No software available on internet can help you. we are the only ones able to solve your problem.
We gathered highly confidential /personal data. These data are currently stored a private server. This server will be immediately destroyed after your payment.
If you decide to not pay, we will release your data to public or re-seller.
So you can expect your data to be publicly available in the near future.
We only seek money and our goal is not to damage your reputation or prevent your business from running.
You will can send us 2-3 non-important files and we will decrypt it for free to prove we are able to give your files back.
------------------------------------------------------------------------------
Make contact as soon as possible. Your private key (decryption key) is only stored temporarily.
IF YOU DON'T CONTACT US WITHIN 72 HOURS, PRICE WILL BE HIGHER.
################################################
################ LIST OF ENCRYPTED FILES ###############
------------------------------------------------------------------------------
***

Обратите внимание! В записке отсутствует какой-либо контакт для связи. Этот вариант с расширением .biglock мог быть тестовым или содержал ошибку с разработке.  

Перевод записки !!!READ_ME!!!.TXT на русский язык:
### ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ ###
### И ПОМЕЧЕНЫ РАСШИРЕНИЕМ .biglock ###
------------------------------------------------------------------------------
Все ваши важные файлы зашифрованы!
------------------------------------------------------------------------------
Ваши файлы в безопасности! Только модифицированы. (ChaCha+AES)
ЛЮБАЯ ПОПЫТКА ВОССТАНОВИТЬ ФАЙЛЫ ПРОГРАММАМИ ТРЕТЬИХ ЛИЦ НАВСЕГДА ИСПОРТИТ ИХ.
НЕ МОДИФИЦИРУЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ.
НЕ ПЕРЕИМЕНОВЫВАЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ.
Никакая программа, доступная в Интернете, не может вам помочь. Мы единственные, кто может решить вашу проблему.
Мы собрали очень конфиденциальные / личные данные. Эти данные теперь хранятся на частном сервере. Этот сервер будет сразу уничтожен после вашей оплаты.
Если вы решите не платить, мы опубликуем ваши данные или перепродадим.
Поэтому, можете ждать, как ваши данные будут опубликованы в скором времени.
Нам нужны лишь деньги и наша цель не в том, чтобы нанести ущерб вашей репутации или помешать вашему бизнесу.
Вы можете отправить нам 2-3 неважных файла и мы бесплатно расшифруем их, чтобы доказать, что мы можем вернуть ваши файлы.
------------------------------------------------------------------------------
Свяжитесь с нами поскорее. Ваш закрытый ключ (ключ расшифровки) хранится только временно.
Если вы не свяжитесь с нами в течение 72 часов, цена будет выше.
### СПИСОК ЗАШИФРОВАННЫХ ФАЙЛОВ ###
------------------------------------------------------------------------------
***

 

Содержание записки README_LOCK.TXT:
#############################################################
################# YOUR FILES WERE ENCRYPTED #################
############ AND MARKED BY EXTENSION .corona-lock ###########
#############################################################
--
DON'T WORRY! YOUR FILES ARE SAFE! ONLY MODIFIED :: ChaCha + AES
WE STRONGLY RECOMMEND you NOT to use any Decryption Tools.
These tools can damage your data, making recover IMPOSSIBLE.
Also we recommend you not to contact data recovery companies.
They will just contact us, buy the key and sell it to you at a higher price.
If you want to decrypt your files, you have to get RSA private key.
--
To get RSA private key you have to contact us via email to: 
---------------------------->> support@covidworldcry.com <<
and send us your id: >> 1598982*** <<
--
HOW to understand that we are NOT scammers?
You can ask SUPPORT for the TEST-decryption for ONE file!
--
#############################################################
################## LIST OF ENCRYPTED FILES ##################
-------------------------------------------------------------
C:\vcredist2010_x64.log-MSI_vc_red.msi.txt 372682
C:\vcredist2010_x64.log.html 88914
C:\vcredist2012_x64_0_vcRuntimeMinimum_x64.log 169690
C:\Program Files\Mozilla Firefox\precomplete 2865
C:\Program Files\Mozilla Firefox\removed-files 16
C:\vcredist2012_x64_1_vcRuntimeAdditional_x64.log 197548
C:\vcredist2013_x64_000_vcRuntimeMinimum_x64.log 171954
C:\vcredist2013_x64_001_vcRuntimeAdditional_x64.log 193090
C:\Users\Admin\deployment.properties 1646
C:\Users\Admin\ntuser.dat.LOG1 0
C:\Users\Admin\ntuser.dat.LOG2 0
***

Перевод записки README_LOCK.TXT на русский язык:
### ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ ###
### И ПОМЕЧЕНЫ РАСШИРЕНИЕМ .corona-lock ###
-
НЕ ВОЛНУЙТЕСЬ! ВАШИ ФАЙЛЫ В БЕЗОПАСНОСТИ! ТОЛЬКО ИЗМЕНЕНЫ :: ChaCha + AES
МЫ НАСТОЯТЕЛЬНО РЕКОМЕНДУЕМ вам НЕ использовать какие-либо инструменты дешифрования.
Эти инструменты могут повредить ваши данные, сделав восстановление НЕВОЗМОЖНЫМ.
Также мы рекомендуем не связываться с компаниями по восстановлению данных.
Они просто свяжутся с нами, купят ключ и продадут его вам по более высокой цене.
Если вы хотите расшифровать ваши файлы, вы должны получить закрытый ключ RSA.
-
Чтобы получить закрытый ключ RSA, вы должны связаться с нами по email:
---------------------------- >> support@covidworldcry.com <<
и отправить нам свой id: >> 1598982*** <<
-
КАК понять, что мы НЕ мошенники?
Вы можете запросить ПОДДЕРЖКУ для ТЕСТ-расшифровки ОДНОГО файла!
-
### СПИСОК ЗАШИФРОВАННЫХ ФАЙЛОВ ###
***

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов (RigEK), вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов, манипулирует размером теневого хранилища, отключает функции восстановления и исправления Windows на этапе загрузки командами:
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
Interacts with shadow copies
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
"C:\Windows\system32\cmd.exe" /c del C:\Users\Admin\AppData\Local\Temp\2020-0~1.EXE >> NUL
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
C:\Windows\SysWOW64\Wbem\wmic.exe
wmic.exe SHADOWCOPY /nointeractive
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
vssadmin.exe Delete Shadows /All /Quiet

Список файловых расширений, подвергающихся шифрованию:
Большинство типов файлов, кроме используемых BigLock. 
Это наверняка будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Шифрует даже загрузочные и системные файлы, например:
bootmgr.corona-lock
BOOTNXT.corona-lock
ntuser.pol.corona-lock

Файлы, связанные с этим Ransomware:
!!!READ_ME!!!.TXT - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла
KEY.FILE - специальный файл
2020-05-22_17-36-19.exe - распространяемый вредоносный файл.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Roaming\KEY.FILE
C:\Users\User\Desktop\README_LOCK.TXT

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Malware URL:  VT

При открытии этого сайта Norton Security сообщает о веб-атаке и блокирует атаку. На скриншотах подробности об атаке. 

 

Применяется эксплойт Rig EK. 
---
Email-1: admin@covidworldcry.com
Email-2: support@covidworldcry.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

➤ Исследователи обратили внимание, что в некоторых случаях присутствие BigLock Ransomware на атакованных ПК сопровождается присутствием STOP Ransomware. Это может говорить о том, что они распространяются по похожей или общей схеме — через сайты с пиратским и взломанным ПО. 
На следующей картинке видно, что шифрование файлов идёт друг за другом, добавляются расширения .corona-lock и .covm (расширение STOP Ransomware на данный период времени). 

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 22 мая 2020:
Топик на форуме >>
Расширение: .corona-lock
Записка: README_LOCK.TXT
Email: support@covidworldcry.com
Результаты анализов: 
Файл setup_theme_895670451.exe
Загрузчик или вспомогательный: VT + HA + IA + AR 
Используется имя легитимной программы: DUMo, DUMo - Drivers Update Monitor, KC Softwares
➤ Обнаружения:
DrWeb -> Trojan.DownLoader33.44803
BitDefender -> Gen:Variant.Ursu.877310
ESET-NOD32 -> A Variant Of Win32/DownloadAssistant.Y*
Malwarebytes -> Adware.DLAssistant.Generic
Rising -> PUA.DownloadAssistant!8.182 (CLOUD)
Symantec -> ML.Attribute.HighConfidence


Вариант от 10 августа 2020:
Пост в Твиттере >>
Расширение: .pandemic
Записка: PROTECT.txt
Email: brelox777@gmail.com
URL: hxxx://195.189.96.66/repeater.php
Tor-URL: hxxx://dj55huaqbbsnhwngb5rgeq65ns3nteyon7wlp32gkamzs3k2ogrdr5qd.onion

 

Результаты анализов: VT + VMR + IA

➤ Обнаружения:

DrWeb -> Trojan.Encoder.32410

BitDefender -> Trojan.GenericKD.34327466

ESET-NOD32 -> A Variant Of Win64/Filecoder.CC

Malwarebytes -> Ransom.Pandemic

Microsoft -> Trojan:Win32/HtaCrypt.D!MTB

TrendMicro -> Ransom.Win64.QRNALOCK.AA

=== 2021 ===

Вариант от 2 марта 2021: 

Сообщение >>

Самоназвание: CORONA LOCKER.

Имитирует один из вариантов Aurora Ransomware. 

Расширение: .systems32x

Записки: @_FILES_WERE_ENCRYPTED_@.TXT

@_HOW_TO_DECRYPT_FILES_@.TXT

@_HOW_TO_PAY_THE_RANSOM_@.TXT

BTC: 1P9RWUQPJ2sSGszTqvi7cxzLWkUecAchgs

Специальный файл: SYSTEM32X.KEY

Результаты анализов: VT + IA

➤ Обнаружения:

DrWeb -> Trojan.Encoder.33577

ALYac -> Trojan.Ransom.Aurora

Avira (no cloud) -> TR/Crypt.ASPM.Gen

BitDefender -> Gen:Heur.Mint.Zard.2

ESET-NOD32 -> A Variant Of Win32/Filecoder.OEY

Malwarebytes -> Ransom.Gibberish

Microsoft -> Ransom:Win32/CornLocker.PA!MTB

Qihoo-360 -> Win32/Ransom.Aurora.HgIASP4A

Rising -> Ransom.Aurora!8.11029 (CLOUD)

TrendMicro -> Ransom.Win32.CORONALOCKER.THCOCB

Вариант от 4 июня 2021: 

Сообщение >>

Расширение: .nermer

Записка: PROTECT_INFO.TXT

Файл: locker.exe

Результаты анализов: VT + TG

➤ Обнаружения:  

DrWeb -> Trojan.Encoder.33998

ALYac -> Trojan.Ransom.MedusaLocker

ESET-NOD32 -> A Variant Of Win64/Filecoder.CC

Вариант от 7 октября 2021: 

Расширение: .t1000

Записка: PROTECT_INFO.TXT

Результаты анализов: VT 

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34401

ESET-NOD32 -> A Variant Of Win64/Filecoder.CC

Вариант от 4 декабря 2021: 

Сообщение >>

Расширение: .t1000

Записка: CRYPTiNFO.txt

Jabber: t1000rn@404.city

Telegram: @t1000rn

Файл: SysLogsService.exe

Результаты анализов: VT + TG

➤ Обнаружения: 

DrWeb -> Trojan.Encoder.34401

BitDefender -> Trojan.GenericKD.47566367

ESET-NOD32 -> A Variant Of Win64/Packed.Themida.KX

Malwarebytes -> Malware.AI.4211841936

Symantec -> Downloader

=== 2022 ===

Вариант от 30 января 2022:

Сообщение >>

Расширение: .t800

Алгоритмы шифрования: TermCryptS3v2+RSA2048

Записка: !!!HOW_TO_DECRYPT!!!.txt

Telegram: @t1000rn

Jabber: t1000rn@404.city

BTC: 38wDGRKde7UijxBrup9BNnEUopKexyRpZz

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as BigLock)
 Write-up, Topic of Support, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam, nao_sec
 Andrew Ivanov (author)
 quietman7 (Bleeping Computer forum)
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.