MilkmanVictory

MilkmanVictory Ransomware

Rand123 Ransomware

(шифровальщик-не-вымогатель, ASR) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные с помощью AES+RSA, а затем не требует выкуп, но сообщает о том, что ПК мошенников был выведен из строя группой хакеров. Оригинальное название: MilkmanVictory Ransomware. Разработка: CyberWare. Отправляется только мошенникам. Отсюда: ASR — Anti-Scammer или Anti-Scam Ransomware (вымогатель, направленный на мошенников). Фальш-копирайт: HP Inc.

Обнаружения:
DrWeb -> Trojan.Encoder.10598
ALYac -> Trojan.Ransom.HiddenTear
Avast/AVG -> Win32:DangerousSig [Trj]
Avira (no cloud) -> TR/Ransom.ivhxs
BitDefender -> Gen:Heur.Ransom.HiddenTears.1
ESET-NOD32 -> A Variant Of MSIL/Filecoder.Z
Malwarebytes -> Ransom.FileCryptor
McAfee -> Ransomware-FTD!65E18BAE9B8C
Qihoo-360 -> Generic/Trojan.Ransom.786
Rising -> Ransom.HiddenTear!1.C60C (CLASSIC)
Symantec -> Ransom.HiddenTear!g1
Tencent -> Win32.Trojan.Raas.Auto
TrendMicro -> Ransom_CRYPTEAR.SM0
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: HiddenTear >> MilkmanVictory

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .paradox


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого шифровальщика пришлась на середину мая 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: READ_ME.txt

Содержание записки:
Hello!, This computer has been destroyed with the MilkmanVictory Ransomware because we know you are a scammer! 
- CyberWare Hackers :-)

Перевод записки на русский язык:
Привет!, Этот компьютер уничтожен с помощью MilkmanVictory Ransomware, потому что мы знаем, что вы мошенник!
- CyberWare Hackers :-)



Обои Рабочего стола заменяются следующим изображением wallpaper.jpg:

Есть также видеоролик, которые сообщает о тех же сайтах мошенников.

Технические детали

Направлено против мошенников, которые создают сайты для обмана пользователей в Интернете. 

Примеры сайтов мошенников:
Поддельный банк выдачи кредитов: bdf-bnk.com
Поддельный сайт выдачи кредитов: lajunen-laina.com (на финском и шведском языках)

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ссылок на файлы (фальш-PDF), DDos-атак для сайтов, и как-то иначе. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ UAC не обходит, требуется разрешение на запуск. 

Список файловых расширений, подвергающихся шифрованию:
.apk, .app, .arj, .asp, .aspx, .avi, .bmp, .cab, .cpp, .csv, .dat, .dll, .doc, .docx, .dwg, .exe, .gzip, .htm, .html, .ico, .iso, .jar, .jpg, .lnk, .locked, .lzh, .mdb, .mkv, .mov, .mp3, .mp4, .mpeg, .mpg, .odt, .pas, .pdb, .pdf, .php, .png, .ppt, .pptx, .psd, .rar, .rtf, .sql, .tar, .torrent, .txt, .xls, .xlsx, .xml, .zip (52 расширения). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Список пропускаемых расширений:
.paradox, .contact, .settings, .sln, .f3d, .7-zip, .ace, .bz2, .uue, .001, .core, .crproj, .onyxmods

Файлы, связанные с этим Ransomware:
READ_ME.txt - название файла с требованием выкупа
READ_IT.txt.locked
wallpaper.jpg

local.exe
-__----_-.pdb - название проекта
-__----_-.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\Antig\source\repos\-__----_-\-__----_-\obj\Debug\-__----_-.pdb
\Desktop\READ_IT.txt
\Desktop\READ_IT.txt.locked

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxxs://en3ez7v505kx8.x.pipedream.net
URL изображения: xxxxs://media.threatpost.com/wp-content/uploads/sites/103/2020/01/03130357/ransomware.jpeg
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as HiddenTear)
 Write-up, Topic of Support
 * 

 Thanks: 
 GrujaRS
 Andrew Ivanov (author)
 CyberWare
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.