SifreCozucu

SifreCozucu Ransomware

TurkSifre Ransomware

Aliases: B@H}!ER@, Bahtier

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.

Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: ??? >> SifreCozucu > SifreCikis

Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение:
__Mail_[sifre_cozucu@protonmail.com]__Site_[www.dosyacozd4iprkd7.onion]

Шаблон можно записать так:
__Mail_[<email>]__Site_[www.dosyacozd4iprkd7.onion]
__Mail_[<email>]__Site_[<tor-site>]
__Mail_[<email>]__Site_[<onion-site>]

Этимология названия:
Вымогатели не сообщили название своей программы, значит мы можем использовать то, что есть в расширении или в контактах. Расширение слишком громоздко, а логин одного из email можно использовать. Я взял слова SifreCozucu (на турецком: "şifre çözücü" - это "декодер"). 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало мая 2020 г. Ориентирован на турцкоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: _ONEMLI_LUTFEN_OKUYUNUZ.TXT

Содержание записки о выкупе:
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
                 DOSYA SIFRESINI COZMEK ICIN OKUYUNUZ..
DOSYALARINIZIN SIFRESINI COZECEK PROGRAMI SATIN ALMAK ISTERSENIZ EGER..
PC ID'NIZ [00E04C4122B1] ILE MAIL ATINIZ : sifre_cozucu@protonmail.com
MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER
WEB SITEMIZI ZIYARET EDINIZ : http://www.dosyacozd4iprkd7.onion
SITE HATA VERIRSE TEKRAR DENEYINIZ..
WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..
TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DATA KURTARMA SERVISLERI HAKKINDA BILMENIZ GEREKENLER.!!!
SIFRELEME ISLEMI SIRASINDA BILGISAYARINIZDAN SILINEN TEK BIR DOSYA BILE OLMADI..
SIFRELEME SIRASINDA BUTUN DOSYALARIN USTUNE YAZILDI...
YANI BU, GERI DONUSTURULECEK YADA KURTARILACAK BIR DOSYA YOK DEMEKTIR...
DATA KURTARMA SERVISLERI SADECE SILINEN DOSYALARI,
YADA BOZULAN HDD LERDE KI VERILERI KURTARABILIR.
BASITCE SOYLEMEK GEREKIRSE..
DATA KURTARMA SERVISLERININ BU DURUMA YAPABILECEGI BIR SEY YOK...
YINE DE DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ
LUTFEN DOSYALARINIZIN YEDEGINI ALIN..
ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.
DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.
ASIL DOSYALARIN BOZULMASI,
VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Перевод записки на русский язык:
Прочтите, чтобы расшифровать файлы.
Если вы хотите купить программу, которая расшифрует ваши файлы ..
Пришлите ID вашего PC [***] на почту: sifre_cozucu@protonmail.com
Если вы не получите ответ в течение 3 часов с нашего email,
Посетите наш сайт: http://www.dosyacozd4iprkd7.onion
Если сайт не работает, попробуйте еще раз ..
Наш сайт открывается только в Tor-браузере.
Адрес для загрузки Tor-браузера: https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Что нужно знать об услуге восстановления данных. !!!
Во время шифрования не было удалено ни одного файла с вашего компьютера.
Все файлы были перезаписаны зашифрованными ...
Это означает, что файлы невозможно восстановить без расшифровки ...
Служба восстановления восстановит только удаленные файлы,
Или он может восстановить искаженные данные с жестких дисков.
Проще говоря,
С этой ситуацией службы восстановления данных ничего не могут сделать ...
Если вы все еще хотите использовать службы или программы восстановления данных
Пожалуйста, сделайте резервную копию ваших файлов.
Обработайте или делайте это на резервных копиях, которые вы получили.
Не удаляйте свои файлы и не меняйте их имена.
Если будут повреждены файлы,
Это приведет к необратимому повреждению ваших данных.

Другим информатором жертвы выступает сайт в сети tor. 

Содержание сайта:
sifreci@protonmail.com
Not : Cok fazla Sikayet oldugu icin Mail Adreslerimiz ara sira kapanabiliyor..
Mailinize 3 saat icinde cevap alamazsaniz eger..
Buradan guncel Mail adresimize yeniden mail atiniz...
Guncelleme : 16:18 - 02.05.2020 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
_ONEMLI_LUTFEN_OKUYUNUZ.TXT - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

B@H}!ER@ — некий элемент в коде зашифрованного файла, который очень похож на завуалированное мусульманское имя Bahtier. Но, возможно, это только совпадение. 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://www.dosyacozd4iprkd7.onion
Email: sifre_cozucu@protonmail.com
Email-site: sifreci@protonmail.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 27 мая 2020:
Топик на форуме >>
Расширение: .<ID> (12 знаков) или .<PC_ID>
Пример зашифрованного файла: document.doc.0019D1B03EAE
Записка (шаблон): _ONEMLI_LUTFEN_OKUYUNUZ_<ID>.TXT
Записка (пример): _ONEMLI_LUTFEN_OKUYUNUZ_0019D1B03EEA.TXT
Tor-URL: sifrecoz7niiqedf.onion
Email: sifreci@protonmail.com

➤ Содержание записки: 
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
                 DOSYA SIFRESINI COZMEK ICIN OKUYUNUZ..
DOSYALARINIZIN SIFRESINI COZECEK PROGRAMI SATIN ALMAK ISTERSENIZ EGER..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
sifreci@protonmail.com'MAIL ADRESIMIZE  KONU KISMINDA PC ID'NIZ [0019D1B03***] OLAN MAIL ATINIZ..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER
WEB SITEMIZDEN GUNCEL MAIL ADRESIMIZE ULASABILIRSINIZ. : http://www.sifrecoz7niiqedf.onion
SITE HATA VERIRSE TEKRAR DENEYINIZ..
WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..
TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ
LUTFEN DOSYALARINIZIN YEDEGINI ALIN..
ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.
DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.
ASIL DOSYALARIN BOZULMASI,
VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -


Обновление от 24 июля 2020:
Пост на форуме >>
Пост в Твиттере >>
Расширение: .<ID> (12 знаков) или .<PC_ID>
Пример зашифрованного файла: LİSTESİ.xlsx.E03F491BEF12
Записка:  _ONEMLI_LUTFEN_OKUYUNUZ_E03F491BEF51.txt
Email: dosyacoz9@protonmail.com
Tor-URL: hxxx://www.sifrecozrwwhvz57.onion
➤ Содержание записки: 
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
                 DOSYA SIFRESINI COZMEK ICIN OKUYUNUZ..
DOSYALARINIZIN SIFRESINI COZECEK PROGRAMI SATIN ALMAK ISTERSENIZ EGER..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
dosyacoz9@protonmail.com'MAIL ADRESIMIZE  KONU KISMINDA PC ID'NIZ [E03F491BEF12] OLAN MAIL ATINIZ..
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER
WEB SITEMIZDEN GUNCEL MAIL ADRESIMIZE ULASABILIRSINIZ. : http://www.sifrecozrwwhvz57.onion
SITE HATA VERIRSE TEKRAR DENEYINIZ..
WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..
TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ
LUTFEN DOSYALARINIZIN YEDEGINI ALIN..
ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.
DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.
ASIL DOSYALARIN BOZULMASI,
VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -


Обновление от 10 нобря 2020:

Новая или модифицированная версия - SifreCikis Ransomware >>
По-прежнему нет образцов вредоносных файлов, чтобы подтвердить родство. 


Вариант от 30 января 2021: 

Tor-URL: hxxx://www.sifrecozrwwhvz57.onion

Записка: _SIFRE_COZME_ONEMLI_04D4C4211518.TXT

➤ Содержание записки:

DOSYALARINIZ SIFRELENDI....

DOSYALARINIZIN SIFRESINI COZMEK ICIN.

<their mail adress> MAIL ADRESIMIZE

KONU KISMINDA PC ID'NIZ [<my pc ID>] OLAN MAIL ATINIZ..

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

                        PROGRAM UCRETI : 1000 $

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

MAIL ADRESIMIZDEN 3 SAAT ICINDE CEVAP ALAMAZSANIZ EGER

WEB SITEMIZDEN GUNCEL MAIL ADRESIMIZE ULASABILIRSINIZ. : http://www.sifrecozrwwhvz57.onion

WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..

TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ

LUTFEN DOSYALARINIZIN YEDEGINI ALIN..

ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.

DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.

ASIL DOSYALARIN BOZULMASI,

VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter: myTweet
 ID Ransomware (ID as SifreCozucu)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (author), Michael Gillespie
 quietman7
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.