Smaug

Smaug Ransomware

(шифровальщик-вымогатель, RaaS) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 (режим CBC) + RSA-2048, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Smaug. Написан на языке GO. Может использоваться для атака на компьютеры с Windows, macOS, Linux (все x64). 

Обнаружения:
DrWeb -> Trojan.Encoder.32471
BitDefender -> Trojan.GenericKD.43596446
ESET-NOD32 -> A Variant Of Win32/Filecoder.ODA
Malwarebytes -> ***
Rising -> ***
Symantec -> Ransom.Cryptolocker
Tencent -> Win32.Trojan.Agent.Wnwi
TrendMicro -> Ransom_Agent.R002C0WH720
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: предыдущий проект >> Smaug

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение по шаблону "8-4-4-4-12" (так называемый GUID): .XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

Пример такого расширения: .94c60ca4-06f5-4138-b960-7630e0436922


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Первые сообщения об этом крипто-вымогателе появились в начале июня 2020 г. Распространяемые образцы помечены концом апреля - началом мая 2020. Штамп даты создания раннего образца: конец марта. Первая реклама Smaus RaaS была сделана на форуме exploit.in. Потом в августе появились первые исследования. 
Smaug не должен атаковать компьютеры пользователей из некоторых стран СНГ (Армения, Азербайджан, Беларусь, Казахстан, Кыргызстан, Молдова, Россия, Таджикистан, Узбекистан). Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: HACKED.txt

Содержание записки о выкупе:
Your files have been encrypted using military grade encryption. They can never be accessed again without buying a decryption key. You can buy the decryption key at http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion. To access the site you need Tor Browser. 

Перевод записки на русский язык:
Ваши файлы были зашифрованы шифрованием военного уровня. К ним невозможно получить доступ без покупки ключа дешифрования. Вы можете купить ключ дешифрования на http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion. Для доступа к сайту вам нужен Tor Browser. 


Другим информатором жертвы является сайт в сети Tor. 

Скриншот составлен из двух половинок, чтобы отобразить текст. Полноэкранные скриншоты см. после текста с сайта. 

Содержание текста на странице: 
Upload any encrypted file below to purchase decryption key
Drop a file here or click upload
Maximum upload size: 1MB
Please enter security code
About
Your files have been encrypted using military grade encryption. Many of your files are no longer accessible because of the encryption. The encryption cannot be broken without purchasing the decryption key. You can purchase the decryption key from us using bitcoins.
After you have purchased the decryption key your order will be automatically processed by our system within 10 minutes after the payment has at least 6 confirmations. You will receive the key along with a program to decrypt your files. To prove that our decryption key works on your files we will decrypt one of your files for free. Please upload the file you want decrypted using the form above. After uploading you will be given further information how to purchase the key.
Depending on the agent that infected your files there might be a deadline for your payment. After the deadline the decryption key for your files is automatically erased from our servers. This means nobody can longer recover your files. Therefore do not waste your time. Upload one of your encrypted files above to find out how much the decryption key costs and what is the deadline.
For more information please read the walkthrough.
smaug_raas@secmail.pro

Перевод текст на русский язык:
Загрузите любой зашифрованный файл ниже, чтобы приобрести ключ дешифрования.
Перетащите файл сюда или нажмите Загрузить
Максимальный размер загрузки: 1 МБ
Пожалуйста, введите защитный код
Об этом
Ваши файлы были зашифрованы с шифрованием военного уровня. Многие из ваших файлов больше недоступны из-за шифрования. Шифрование невозможно взломать, не купив ключ дешифрования. Вы можете приобрести у нас ключ дешифрования за биткойны.
После того, как вы приобрели ключ дешифрования, ваш заказ будет автоматически обработан нашей системой в течение 10 минут после получения как минимум 6 подтверждений платежа. Вы получите ключ вместе с программой для расшифровки ваших файлов. Чтобы доказать, что наш ключ дешифрования работает с вашими файлами, мы бесплатно расшифруем один из ваших файлов. Загрузите файл, который вы хотите расшифровать, используя форму выше. После загрузки вам будет предоставлена ​​дополнительная информация о том, как приобрести ключ.
В зависимости от агента, который заразил ваши файлы, может быть установлен срок оплаты. По истечении указанного срока ключ дешифрования ваших файлов автоматически удаляется с наших серверов. Это означает, что никто больше не сможет восстанавливать ваши файлы. Поэтому не тратьте время зря. Загрузите один из ваших зашифрованных файлов выше, чтобы узнать, сколько стоит ключ дешифрования и каков крайний срок.
Для получения дополнительной информации прочитайте прохождение.
smaug_raas@secmail.pro

Полноэкранные скриншоты:

Скриншот сообщения с описанием на форуме exploit.in из первой рекламы Smaug RaaS. 

Описание того, как вымогатели набирают партнеров, сколько платят и как выполняется управление RaaS читайте на сайте ATR. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Smaug Ransomware относительно прост по сравнению с другими программами-вымогателями. Например, в нем нет функции остановки запущенных процессов, которая используются для снятия блокировки с файлов, которые нужно зашифровать. Smaug не удаляет резервные копии и теневые копий файлы. Благодаря этим недоделкам можно будет восстановить зашифрованные файлы из теневых копий, если служба VSS была заранее включена. Примеры для Windows и Linux были скомпилированы из одного и того же исходного кода без каких-либо модификаций, за исключением слоев-прокладок, предоставляемых стандартной библиотекой Go.

➤ О шифровании:
Smaug генерирует уникальный ключ шифрования для каждой зараженной машины. Ключ зашифрован открытым RSA-ключом, что означает, что машинный ключ может быть зашифрован только закрытым ключом злоумышленника. Шифровальщик работает автономно, без подключения к Интернет. Для шифрования файлов использует пару "goroutines" для каждого раздела диска. Файлы шифруются по 4 Кбайт за раз. Если файл меньше или при чтении возвращается менее 4 КБ, вредоносная программа добавляет заполнение в конец файла, чтобы общее количество байтов было кратным 16 байтам, как того требует AES. Используемый формат заполнения - PKCS #7. Зашифрованные блоки записываются в новый файл с исходным именем файла с уникальным идентификатором, добавленным в конец имени файла. Исходный файл удаляется после того, как файл был зашифрован.
Подробнее о шифровании читайте на сайте ATR.

Список файловых расширений, подвергающихся шифрованию:
.3fr, .accdb, .aes, .ai, .ARC, .arw, .asc, .asf, .asm, .asp, .avi, .backup, .bak, .bat, .bay, .bmp, .brd, .c, .cdr, .cer, .cgm, .class, .cmd, .cpp, .cr2, .crt, .crw, .csr, .CSV, .dbf, .dch, .dcr, .der, .dif, .dip, .djv, .djvu, .dng, .doc, .DOC, .docb, .docm, .docx, .dot, .DOT, .dotm, .dotx, .dwg, .dxf, .dxg, .eps, .erf, .fla, .flv, .frm, .gif, .go, .gpg, .gz, .h, .html, .hwp, .ibd, .indd, .jar, .java, .jpe, .jpeg, .jpegm, .jpg, .kdc, .key, .lay, .lay6, .ldf, .max, .mdb, .mdf, .mef, .mid, .mkv, .mml, .mov, .mpeg, .mpg, .mrw, .ms11, .MYD, .MYI, .nef, .NEF, .nrw, .odb, .odg, .odm, .odp, .ods, .odt, .orf, .otg, .otp, .ots, .ott, .p12, .p7b, .p7c, .PAQ, .pas, .pdd, .pdf, .pef, .pem, .pfx, .php, .png, .pot, .potm, .potx, .ppam, .pps, .ppsm, .ppsx, .ppt, .PPT, .pptm, .pptx, .psd, .pst, .ptx, .py, .qcow2, .r3d, .raf, .rar, .raw, .rb, .rtf, .RTF, .rw2, .rwl, .sch, (Security copy), .sldm, .sldx, .slk, .sql, .sqlite3, .SQLITE3, .sqlitedb, .SQLITEDB, .srf, .srw, .stc, .std, .sti, .stw, .svg, .swf, .sxc, .sxd, .sxi, .sxm, .sxw, .tar, .tar.bz2, .tbk, .tgz, .tif, .tiff, .txt, .uop, .uot, .vbs, .vdi, .vmdk, .vmx, .vob, .wav, .wb2, .wks, .wma, .wmv, .wpd, .wps, .xlc, .xlk, .xlm, .xls, .XLS, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .zip (199 расширений). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
HACKED.txt - название файла с требованием выкупа
Corporate_Detail-June.2020.exe - загружаемый вредоносный файл
11bdd939-1d45-421c-9be0-0addcdc8181c_windows.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\AppData\Local\Temp\11bdd939-1d45-421c-9be0-0addcdc8181c_windows.exe
C:\Users\User\AppData\Local\Temp\Corporate_Detail-June.2020.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion
Email: smaug-ransomware@protonmail.com
Email: smaug_raas@secmail.pro
Email: ttviper@secmail.pro
BTC: - 

Сайты форума, на котором был представлен Smaug RaaS:
lzt.design
lolz.guru
lols.ga
cloun.design
gei.design
maclo.ml

 

См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 28 июля 2020:
Записка: HACKED.txt

➤ Содержание записки:
Your files have been encrypted using military grade encryption. They can never be accessed again without buying a decryption key. You can buy the decryption key at http://smaugrwmaystthfxp72tlmdbrzlwdp2pxtpvtzvhkv5ppg3difiwonad.onion. To access the site you need Tor Browser.
to view site you can download torbrowser here  -  https://www.torproject.org/download/
need help?support          ttviper@secmail.pro
Результаты анализов: VT + TG + IA

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Smaug)
 Write-up, Topic of Support
 * 

Added later:
Write-up by SentinelLABS (added on September 3, 2020)
Write-up

 Thanks: 
 CryptoInsane, Shadow Intelligence
 Andrew Ivanov (author) 
 Anomali Threat Research, Michael Gillespie
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.