LolKek (test) Ransomware
(шифровальщик, деструктор) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: CRYPTO LOCKER. На файле написано: WinLocker.exe
Обнаружения:
DrWeb -> Trojan.Encoder.32057
BitDefender -> Gen:Variant.Razy.652974
Avira (no cloud) -> TR/FileCoder.zcrtn
ESET-NOD32 -> A Variant Of Win32/Filecoder.OCP
Kaspersky -> Trojan-Ransom.Win32.Gen.xlt
Malwarebytes -> Ransom.LolKek
Microsoft -> Trojan:Win32/Ymacco.AABB
Qihoo-360 -> Win32/Trojan.Ransom.887
Rising -> Ransom.Gen!8.DE83 (CLOUD)
Symantec -> ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Filecoder.Svrf
TrendMicro -> Ransom_Gen.R002C0WFN20
VBA32 -> TrojanRansom.Gen
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: Adhubllka? > Lolkek (test) > BitRansomware
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: .lolkek
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Активность этого варианта крипто-вымогателя пришлась на конец июня 2020 г. Штамп времени: 22 июня 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру. Вероятно, является неким промежуточным вариантом между Adhubllka и BitRansomware.
Записка с требованием выкупа называется: LOLKEK.txt
Но в записке нет никаких требований выкупа. Похоже на то, что это недоработанный тестовый вариант.
Содержание записки о выкупе:
LOLSSTTTTTTKEK
Перевод записки на русский язык:
LOLSSTTTTTTKEK
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ UAC не обходит, требуется разрешение на запуск.
Список файловых расширений, подвергающихся шифрованию:
Вероятно, шифрует все файлы, т.к. среди зашифрованных есть системные и загрузочные файлы.
Это наверняка будут документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
WinLocker.exe
LOLKEK.txt - название файла с требованием выкупа
ZFxQrq7MxhhEM2V2.exe - случайное название вредоносного файла
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: -
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: низкая для описанного варианта.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
CRYPTO LOCKER LolKek - июнь-июль 2020
myCRYPTO LOCKER (BitRansomware) - июль 2020
MCRYPTO LOCKER (BitRansomware) - август 2020
***что-то еще*** - сентябрь 2020
uCRYPTO LOCKER (BitRansomware) - октябрь 2020
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Июль 2020:
Несколько несущественных вариантов без текста выкупа
Автор продолжает развлекаться и экспериментирует со словами.
Другие варианты с июля-августа 2020:
Более новые варианты, которые идентифицируются в ID Ransomware под именем LolKek описаны в статье Bit Ransomware.
Более новые варианты, которые идентифицируются в ID Ransomware под именем LolKek описаны в статье Bit Ransomware.
Эта статья закрыта!
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + Tweet + myTweet ID Ransomware (ID as Lolkek) Write-up, Topic of Support *
Thanks: xiaopao, Michael Gillespie Andrew Ivanov (author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Комментариев нет:
Отправить комментарий
ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.