Black Claw

BlackClaw Rransomware

Black Claw Rransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Black Claw Rransomware. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: ??? >> Black Claw

Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение по шаблону: .[<id>].bclaw
.[XXXXXXXXXX].bclaw

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: RECOVER YOUR FILES.hta

Содержание записки о выкупе:
All your files have been encrypted! 
All your files have been encrypted (WITH AES+RSA) due to a security problem with your PC. If you want to restore them, write us an email and attach one of encrypted files(less than 1mb): bclaw@hitler.rocks 
or send a message to our telegram account: T.me\B_Claw 
in case of no anwser in 2 hours contact with us throught Telegram account T.me\B_Claw 
Include this id in your message or email:
[redacted 10 lowercase alphanum] 
YOU HAVE ONLY 48 HOURS TO CONTACT US. WHEN THIS TIME ENDS THE PRICE WILL BE TWICE AS MUCH 
EXPIRED! THE PRICE IS TWICE AS MUCH NOW
# Free decryption as guarantee 
Before paying you can send up to 1 file for free decryption. 
# How to obtain Bitcoin 
The easiest way to buy Bitcoin in Localbitcoins.com website. 
https://localbitcoins.com/buy_bitcoins 
Also you can find other places to buy Bitcoins and beginner guide here: 
https://www.coindesk.com/learn/bitcoin-101/how-can-i-buy-bitcoins 

Перевод записки на русский язык:
Все ваши файлы зашифрованы!
Все ваши файлы зашифрованы (С AES + RSA) из-за проблем с безопасностью вашего ПК. Если вы хотите восстановить их, напишите нам email и прикрепите один из зашифрованных файлов (менее 1 МБ): bclaw@hitler.rocks
или отправьте сообщение на наш аккаунт в Telegram: T.me\B_Claw 
в случае отсутствия ответа в течение 2 часов, свяжитесь с нами через учетную запись Telegram T.me\B_Claw 
Включите этот идентификатор в ваше сообщение или email:
[здесь 10 строчных букв]
У вас есть только 48 часов, чтобы связаться с нами. КОГДА ЭТО ВРЕМЯ ЗАКОНЧИТСЯ, ЦЕНА БУДЕТ УДВОЕНА! 
ВРЕМЯ ИСТЕКЛО! ЦЕНА УДВОИТСЯ СЕЙЧАС
# Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить до 1 файла для бесплатной расшифровки.
# Как получить биткойн
Самый простой способ купить биткойн на сайте Localbitcoins.com.
https://localbitcoins.com/buy_bitcoins
Также вы можете найти другие места, чтобы купить биткойны и руководство для начинающих здесь:
https://www.coindesk.com/learn/bitcoin-101/how-can-i-buy-bitcoins

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
RECOVER YOUR FILES.hta - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 29 июля 2020:
Топик на форуме >>
Расширение: .apocalypse
Telegram: T.me\billy_got

BTC: 1GuxVaa3QqeyXGc13MFzmasMRK7HZwbA18
Записки: RECOVER YOUR FILES.hta
RECOVER YOUR FILES.txt

➤ Содержание txt-записки:
All your files have been encrypted (WITH AES+RSA) due to a security problem with your PC.
contact us via telegram. We will reply within 5 minutes: T.me\billy_got
Send 50$ to Bitcoin: 1GuxVaa3QqeyXGc13MFzmasMRK7HZwbA18
Include this id in your message or telegram: V3pkcwuQ3IFkuIliVqMJsl5WrKpd5JpmTCWYaehrvMjtu*** [всего 344 знака]
YOU HAVE ONLY 48 HOURS TO CONTACT US. WHEN THIS TIME ENDS THE PRICE WILL BE TWICE AS MUCH 
# ATTENTION !!! 
DO NOT RENAME THE FILES. 
---

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Black Claw)
 Write-up, Topic of Support
 * 

 Thanks: 
 Michael Gillespie
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.