CryCryptor

CryCryptor Ransomware

(шифровальщик-вымогатель для Android) (первоисточник на русском)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей Android-устройств с использованием алгоритма AES (режим CBC) со случайно сгенерированным 16-символьным ключом, а затем требует выкуп, чтобы вернуть файлы. Для информации используется только записка, само устройство не блокируется. Оригинальное название: CryCryptor. Специалисты ESET создали дешифровщик для файлов, зашифрованных CryCryptor Ransomware. 

Обнаружения:
DrWeb -> Android.Locker.1292.origin
AhnLab-V3 -> Trojan/Android.CryCryptor.960774
Avast-Mobile -> APK:RepSandbox [Trj]
Avira (no cloud) -> ANDROID/Locker.uobvj
ESET-NOD32 -> Android/CryCryptor.A
Kaspersky -> HEUR:Trojan-Ransom.AndroidOS.CryCrypt.a
Microsoft -> Ransom:AndroidOS/CryCryptor.A!MTB
Symantec -> Trojan.Gen.MBT
Symantec Mobile Insight -> Trojan:Simplocker
Tencent -> A.rogue.LockerCryCryptor
TrendMicro -> TROJ_FRS.0NA103FQ20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: OSR CryDroid >> CryCryptor

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .enc

Подробнее: после того, как CryCryptor зашифрует файлы, создаются три новых файла и исходный файл удаляется. Зашифрованный файл имеет добавленное расширение .enc
Алгоритм генерирует соль, уникальную для каждого зашифрованного файла (сохраняется в файле с расширением .enc.salt) и вектор инициализации (сохраняется в файле с расширением .enc.iv). См. примеры на скриншоте. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на июнь 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Первоначально был ориентирован на пользователей Канады. 

 

Вредонос загружался с двух поддельных сайтов, выдавая себя за приложение для отслеживания COVID-19. Поддельное приложение стало распространяться через несколько дней после того, как правительство Канады объявило о своем намерении поддержать разработку общенационального приложения для предупреждение контактов инфицированными. Это мобильное приложение под названием COVID Alert должно предупреждать пользователей, если они вступают в контакт с кем-то, у кого подтвердился диагноз с COVID-19. Официальное приложение должно быть выпущено в июле 2020. 

ESET проинформировал Канадский центр кибербезопасности об этой угрозе, как только она была выявлена. Домены, распространяющие вредоносную программу заблокированы. 

После запуска вымогатель запрашивает доступ к файлам на устройстве. После получения этого разрешения он шифрует файлы на внешнем носителе. 

После шифрования файлов на экране выводится сообщение:
Personal files encrypted, see readme_now.txt

Перевод:

Личные файлы зашифрованы, см. readme_now.txt

 

Записка с требованием выкупа называется: readme_now.txt

Содержание записки о выкупе:
Your files have been Encrypted!
Send an Email to rescue them:
supportdoc@protonmail.ch
Your id is c9703808-ea73-4278-bec4-e349e5559d98

Перевод записки на русский язык:
Ваши файлы зашифрованы!
Отправьте email для их спасения:
supportdoc@protonmail.ch
Ваш id c9703808-ea73-4278-bec4-e349e5559d98

Технические детали

Распространяется через два веб-сайта под видом официального приложения для отслеживания COVID-19, предоставленного Health Canada. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 
Пользователям Android рекомендуется устанавливать приложения только из надежных источников, таких как магазин Google Play.


➤ Контролирует BOOT_COMPLETED, чтобы активироваться и запускаться при каждом запуске Android-устройства.

➤ Ключи шифрования вшиты в настройки CryCryptor. Благодаря этому и проблеме безопасности (CWE-926) стало возможным расшифровать зашифрованные файлы.

 

Список файловых расширений, подвергающихся шифрованию:
.avi, .db, .doc, .docx, .jpg, .png. .pdf, .ppt, .pptx, .tmp, .txt, .xls, .xlsx, .YCF, 
Это документы MS Office, PDF, текстовые файлы, базы данных, фотографии, временные файлы и пр. Шифруются только файлы, найденные на внешнем носителе информации (карте памяти, подключенной флешке и пр.). 

Файлы, связанные с этим Ransomware:
tracershield.apk - исполняемый APK-файл для Android
readme_now.txt - название файла с требованием выкупа

Сетевые подключения и связи:
URL: xxxxs://covid19tracer.ca/
URL: xxxs://tracershield.ca/
URL: xxxps://tracershield.ca/download/tracershield.apk
Email: supportdoc@protonmail.ch
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>  JOE>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 15 июля 2020:
Пост в Твиттере >>

Сообщение от Lukas Stefanko, связанное с CryDecryptor и дешифрованием файлов. 

Обновление от 18 июля 2020:
Пост в Твиттере >>
Сообщение от Lukas Stefanko, связанное с ключом шифрования. 

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + Tw + Tw + myTweet
 ID Ransomware (ID as CryCryptor)
 Write-up, Topic of Support
 * 

 - видеообзор шифрования и дешифрования, подготовленный специалистами ESET

 Thanks: 
 Lukas Stefanko, ESET research, Michael Gillespie
 Andrew Ivanov (author)
 Re-ind, NtRaiseException()
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.