Immuni

Immuni Ransomware

Fuckunicorn Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в 300 евро в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: fuckunicorn и IMMUNI.exe

Обнаружения:
DrWeb -> Trojan.Encoder.10598
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
Avira (no cloud) -> TR/Ransom.cpqdd
ESET-NOD32 -> A Variant Of MSIL/Filecoder.Z
Malwarebytes -> Ransom.FileLocker
Microsoft -> Ransom:MSIL/Ryzerlo.A
Rising -> Ransom.HiddenTear!1.C60C (CLOUD)
Symantec -> Ransom.HiddenTear!g1
Tencent -> Msil.Trojan.Encoder.Pbyk
TrendMicro -> Ransom.MSIL.CRYPTEAR.SM
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: HiddenTear >> Immuni

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .fuckunicornhtrhrtjrjy


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину мая 2020 г. Ориентирован на итальянских и англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_IT.txt

Содержание записки о выкупе:
La lunga serpe sul bastone di Asceplio si è ribellata, ed una nuova era sta per sopraggiungere! 
Questa è la vostra possibilità per redimervi dopo anni di peccati e soprusi. 
Sta a voi scegliere. Entro 3 giorni il pegno pagare dovrai o il fuoco di Prometeo cancellerà i vostri dati così come ha cancellato il potere degli Dei sugli uomini.  Il pegno è di solamente 300 euros, da pagare con i Bitcoin al seguente indirizzo : 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ dopo che pagato avrai, una email mandarci dovrai. xxcte2664@protonmail.com il codice di transazione sarà la prova. 
Dopo il pegno pagato riceverai la soluzione per spegnere il fuoco di Prometeo. Andare dalla polizia o chiamare tecnici a niente servirà, nessun essere umano aiutarti potrà.

Перевод записки на русский язык:
Длинная змея на посохе Асклепия взбунтовалась, и наступает новая эра!
Это ваш шанс искупить себя после многих лет грехов и злоупотреблений.
Выбор за вами. В течение 3 дней залог заплатить вам придется или огонь Прометея отменит ваши данные так же, как они уничтожили власть богов над людьми. Выкуп всего 300 евро, оплачивается в биткоинах по следующему адресу: 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ после оплаты, отправьте нам на email xxcte2664@protonmail.com код транзакции как доказательство.
После уплаченного выкупа вы получите решение потушить огонь Прометея. Идти в полицию или вызывать техников  бесполезно, ни один человек не сможет вам помочь.

---
* Asceplio - вероятно так искаженно написано имя Асклепий, на чьем посохе изображена змея, используется как символ медицины.

Запиской с требованием выкупа также выступает изображение, загружаемое с сервиса imgur, которое заменяет обои Рабочего стола: 

Комбинированные скриншоты:

 

Распространители Immuni пытаются обманом, с помощью социальной инженерии, заставить пользователей загрузить поддельное приложение Immuni.exe (бета-версию) для отслеживания контактов, обещая в режиме реального времени получать обновление информации по COVID-19. 
Всё выглядит так, как будто вредоносный исполняемый файл предоставлен Итальянской федерацией фармацевтов (FOFI). 
Злоумышленники клонировали веб-сайт FOFI и зарегистрировали похожее доменное имя. Для этого они использовали fofl.it с маленькой буквой "L" вместо последнего символа, который легко спутать с маленькой "i", используемой в официальном доменном имени FOFI.
Целями являются аптеки, университеты, врачи и другие организации, борющиеся с новым заражением коронавирусом. 
Кроме того, программа-вымогатель показывает некую карту мира с информацией о COVID-19. На самом деле это информационную панель с информацией COVID-19, возможно, даже фальшивая. Во время её показа пользователю атакованного ПК происходит шифрование файлов в пользовательских директориях (Рабочий стол, Документы, Загрузки, Музыка, Изображения и пр.). 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Пароль для шифрования файлов отправляется злоумышленнику в виде открытого текста, поэтому его можно извлечь из журналов сетевого трафика и использовать для расшифровки файлов.

Список файловых расширений, подвергающихся шифрованию:
.001, .7-zip, .ace, .apk, .arj, .asp, .aspx, .avi, .bmp, .bz2, .c, .cab, .contact, .core, .cpp, .crproj, .cs, .csv, .dat, .db, .dll, .doc, .docx, .dwg, .exe, .f3d, .gzip, .htm, .html, .ico, .iso, .jar, .jpg, .lnk, .lzh, .mdb, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .pas, .pdb, .pdf, .php, .png, .ppt, .pptx, .psd, .py, .rar, .rtf, .settings, .sln, .sql, .tar, .torrent, .txt, .uue, .xls, .xlsx, .xml, .xz, .z, .zip (67 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
IMMUNI.exe
READ_IT.txt - название файла с требованием выкупа
READ_IT.txt.fuckunicornhtrhrtjrjy - тот же файл, но с расширением
ransom.jpg - изображение, заменяющее обои Рабочего стола
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\Desktop\IMMUNI.exe
C:\Users\User\AppData\Local\Temp\IMMUNI.exe
C:\Windows\System32\taskhost.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://116.203.210.127/
xxxxs://i.imgur.com/6bDNKfs.jpg => ransom.jpg
xxxxs://www.fofl.it/ - оддельный фишинговый вредоносный веб-сайт
xxxxs://www.fofl.it/IMMUNI.exe

Email: xxcte2664@protonmail.com
BTC: 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT> / VT URL >
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>  AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as HiddenTear)
 Write-up, Topic of Support
 * 

 Thanks: 
 JAMESWT, GrujaRS
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.