Try2Cry Ransomware
Reha Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью Rijndael, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Try2Cry. На файле написано: нет данных.
Обнаружения:
DrWeb -> Trojan.MulDrop13.2566, Trojan.Encoder.32073, Trojan.MulDrop13.2587, Trojan.MulDrop13.2990
BitDefender -> Trojan.GenericKD.43399186, Gen:Variant.Razy.706822, Gen:Variant.Ursu.923880, Trojan.GenericKD.34100058
ALYac -> Trojan.Ransom.Filecoder
Avira (no cloud) -> BDS/Bladabindi.knzgs, TR/Drop.Agent.owbdf, TR/Ransom.yzetr
ESET-NOD32 -> MSIL/Filecoder.AAS, A Variant Of MSIL/TrojanDropper.Agent.AKH, A Variant Of MSIL/Filecoder.AAS
Malwarebytes -> Ransom.Try2Cry, Ransom.HiddenTear.MSIL
Rising -> Ransom.Agent!8.6B7 (CLOUD), Backdoor.Bladabindi!8.B1F (CLOUD), Trojan.Generic!8.C3 (CLOUD)
Symantec -> Trojan Horse
TrendMicro -> Ransom.MSIL.TRYTOCRY.AB, Ransom.MSIL.TRYTOCRY.THGOABO, Ransom.MSIL.TRYTOCRY.THGOABP, Ransom.MSIL.TRYTOCRY.AA
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: Stupid >> Try2Cry
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: .Try2Cry
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Активность этого крипто-вымогателя пришлась на начало/середину марта 2020 г. Ориентирован на англоязычных и арабоязычных пользователей, что не мешает распространять его по всему миру. Только у некоторых образцов вредоноса были арабские записки с требованием выкупа.
Записка с требованием выкупа называется по названию зашифрованного файла: <original_filename>.txt
Содержание записки о выкупе:
#################################################
Your File:4e844619b945c400***
#################################################
Are FullY Encrypted,,
Dont Try To Change Name Or Format PC>>All data Will Lose..
Call Me Gomanje@Indea.info
Your Pass Key Is:CmT+Af_fAnb$4ev&+Hp***
#################################################
TrY2CrY
Перевод записки на русский язык:
#################################################
Ваш Файл:4e844619b945c400***
#################################################
Полностью зашифрован,
Не пытайтесь изменить имя или форматировать ПК >> Все данные будут потеряны.
Пиши мне на Gomanje@Indea.info
Ваш пароль-ключ:CmT+Af_fAnb$4ev&+Hp***
#################################################
TrY2CrY
В некоторых вариантах записка, созданная для каждого зашифрованного файла сопровождается эпатажным изображением с надписью REHA RANSOMWARE.
---
Арабоязычный вариант отличается от англоязычного не только текстом.
Содержание записки о выкупе в арабоязычном варианте (файл baseimagefam8.txt):
Перевод записки на русский язык:
Здравствуйте, все ваши данные для этого устройства были зашифрованы ransomware. Для восстановления файлов свяжитесь по email (info@russianvip.io), чтобы получить расшифровку. Не пытайтесь пробовать какую-либо программу или настроить устройство, вы не сможете восстановить файлы никогда, если честно. Вы можете отправить 3 файла размером 5 МБ и меньше на тот же email-адрес, и мы восстановим их для подтверждения возможности. Ваш проверочный номер - dd422a41dc10a74cce62ceff3b 7/19/2020 6:40:33 PM
---
Неким информатором выступает также изображение, найденное в ресурсах.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Для защиты от анализа в распространяемых образцах используется DNGuard. Исследователю удалось обнаружить незащищенные образцы, чтобы изучить этот шифровальщик.
➤ Добавляется в автозагрузку Windows: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\***.exe
При этом может использовать названия файлов, которые есть в системе, например, explorer.exe
➤ Некоторые исследованные образцы содержат компонент с функционалом червя, чтобы распространяться с помощью съемных накопителей (флешек, внешних дисков и пр.). Например, этот вредоносный образец. Таким образом, файлы на инфицированной флешке будут скрыты, а вместо них будут наблюдаться только "ярлыки".
Список файловых расширений, подвергающихся шифрованию:
.doc, .docx, .jpg, .pdf, .ppt, .pptx, .xls, .xlsx
Это только некоторые документы MS Office, PDF, фотографии.
Исключение из шифрования:
ПК с именами DESKTOP-PQ6NSM4 и IK-PC2
Скорее всего, это названия компьютеров разработчиков вредоносной программы и/или тестеров, которые нужно было защитить.
Подробнее о шифровании:
ссылка на статью >>
Файлы, связанные с этим Ransomware:
EncryptFile.exe
Vhost.exe
Update.exe
presentation.pdf
presentation.pdf.lnk
<original_filename>.txt - название файла с требованием выкупа
baseimagefam8.txt
4e844619b945c4008163b9cac550bfce_90059c37-1320-41a4-b58d-2b75a9850d2f.txt
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\AppData\Local\Temp\***.exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\***.exe
C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
Global\bd112fa6-b3cf-11ea-b783-5254004ec7ee
См. ниже результаты анализов.
Сетевые подключения и связи:
Email-1: Try2Cry@Indea.info
Email-2: info@russianvip.io
Email-3: Gomanje@Indea.info
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >> TG> TG> TG> TG>
Ⓗ Hybrid analysis >> HA> HA> HA> HA> HA> HA> HA> HA> HA>
𝚺 VirusTotal analysis >> VT> VT> VT> VT> VT> VT> VT> VT> VT>
🐞 Intezer analysis >> IA> IA> IA> IA> * * * IA> *
ᕒ ANY.RUN analysis >> AR> AR> AR> AR>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + Tweet + myTweet ID Ransomware (ID as Stupid) Write-up, Write-up, Topic of Support *
Thanks: Karsten Hahn, BleepingComputer Andrew Ivanov (author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Комментариев нет:
Отправить комментарий
ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.