Salted2020

Salted2020 Ransomware

Variants: 20dfs, aksx

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные компаний и бизнес-пользователей с помощью AES+RSA, а затем требует выкуп в $500 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано.  Используется криптографическая библиотека OpenSSL. 
---
Обнаружения:
DrWeb -> 
BitDefender -> 
ALYac -> 
Avira (no cloud) -> 
ESET-NOD32 -> 
Malwarebytes -> 
Rising -> 
Symantec -> 
TrendMicro -> 
---

© Генеалогия: MorrisBatchCrypt? > InfoDot? > Salted2020

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение, аналогичное логину почты вымогателя: .20dfs

Но в более новых варианта могут быть различия. 

Зашифрованные файлы имеют маркер: Salted__

В прошлом мы уже видели подобный маркер у следующих программ-вымогателей: 
LockMe Ransomware - февраль 2018
MorrisBatchCrypt Ransomware - июнь 2019
InfoDot Ransomware - октябрь 2019

Связан ли 20dfs Ransomware с одним из них, пока неясно. Нет образца. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на первую половину июня 2020 г. и продолжилась в 2021 году с другим расширением для зашифрованных файлов. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. 

Записка с требованием выкупа называется: DECODING_FILES.txt

Содержание записки о выкупе:
20dfs@keemail.me
To regain control of your files.
Make the payment 500$. Payments are made in Monero. This is a crypto-currency, like bitcoin.
Payment Address (Monero Wallet):  85Ch2UmEwtTRYCVgQyTLJd18Nrgh8Vp6YUN6LC6RAcFKAxSDASgxv69jA62hDRnLio2U2zNwXrPJpXScBRGaX6QZSJViRrW
Farther you should send your ip address to email address: 20dfs@keemail.me

Перевод записки на русский язык:
20dfs@keemail.me
Чтобы вернуть контроль над вашими файлами.
Сделайте оплату 500$. Оплата делается в Monero. Это криптовалюта, как биткойн.
Платежный адрес (Monero Wallet):
85Ch2UmEwtTRYCVgQyTLJd18Nrgh8Vp6YUN6LC6RAcFKAxSDASgxv69jA62hDRnLio2U2zNwXrPJpXScBRGaX6QZSJViRrW
Далее вы должны прислать ваш IP-адрес на email адрес: 20dfs@keemail.me


Файл записки добавляется в автозагрузку Windows, чтобы показывать записку при включения компьютера. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
DECODING_FILES.txt - название файла с требованием выкупа;

<random>.bat - случайное название вредоносного файла; 
<random>.exe - случайное название вредоносного файла; 

<decryptor>.bat - файл дешифровщика. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: 20dfs@keemail.me
Monero: 85Ch2UmEwtTRYCVgQyTLJd18Nrgh8Vp6YUN6LC6RAcFKAxSDASgxv69jA62hDRnLio2U2zNwXrPJpXScBRGaX6QZSJViRrW
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 14 января 2021:

Сообщение >>

Расширение: .aksx

Записка: FILES_ENCRYPTED.txt

Email: aksman@keemail.me

Маркер: Salted__

Вариант от 20 февраля 2020:

Топик на форуме >>

Расширение: .crypt

Записка: WHAT_HAPPENED.txt
Email: cmsupport@secmail.pro, cmsupport@airmail.cc
Маркер: Salted__

 

Вариант от 2 июля 2022:

Топик на форуме >>

Мое сообщение >>

Расширение: .le0

Записка: FILES_ENCRYPTED.txt

Email: leo26@keemail.me

Маркер: Salted__

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as ***)
 1st Topic of Support, 2nd Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (author)
 Alex Svirid, Michael Gillespie
 Emmanuel_ADC-Soft
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.