Yogynicof

Yogynicof Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $500 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: github.exe. Разработка на платформе .NET.

Обнаружения:
DrWeb -> Trojan.Encoder.31994, Trojan.Encoder.32059
Avast/AVG -> Win32:MalwareX-gen [Trj]
BitDefender -> Gen:Heur.MSIL.Androm, Trojan.GenericKD.43392220
ESET-NOD32 -> a variant of MSIL/Filecoder.WH, A Variant Of MSIL/Filecoder.AAQ
Kaspersky -> HEUR:Trojan-Ransom.MSIL.Encoder.gen
McAfee -> RDN/Ransom
Microsoft -> Ransom:Win32/Genasom
Rising -> Ransom.Encoder!8.FFD4 (CLOUD)
Symantec -> ML.Attribute.HighConfidence
Tencent -> Msil.Trojan.Encoder.Pkgv
TrendMicro -> Ransom.MSIL.YMACCO.SMTH, Ransom_Encoder.R015C0WFQ20
---

© Генеалогия: ??? >> Yogynicof

Изображение — логотип статьи

К зашифрованным файлам никакое расширение не добавляется, а оригинальное убирается. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 

Этимология названия:
Вымогатели никак не назвали свою вредоносную программу, не добавили к зашифрованным файлам никакое расширение, поэтому для названия в статье был использован логин почты вымогателе — yogynicof. 

Активность этого крипто-вымогателя пришлась на первую половину июня 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записки с требованием выкупа содержат один и тот же текст и называются: 
Read-me! 0 .html
Read-me! 1 .html
Read-me! 2 .html
Read-me! 3 .html
Read-me! 4 .html
Read-me! 5 .html
Read-me! 6 .html
Read-me! 7 .html
Read-me! 8 .html
Read-me! 9 .html
Read-me! 10 .html
Read-me! 11 .html
Read-me! 12 .html
Read-me! 13 .html
Read-me! 14 .html
Read-me! 15 .html
Read-me! 16 .html
Read-me! 17 .html
Read-me! 18 .html
Read-me! 19 .html

 

Содержание записки о выкупе:
Oops, your files are encrypted!!!
What happened to my computer?
Your important files are encrypted.
Many of your documents, photos, videos and other files no longer work because they are encrypted, maybe you are busy looking for a way to recover your files, but do not waste your time, no one can recover your files without our decryption service.
Will I be able to recover my files?
We guarantee that you can recover all your files safely and easily after our conditions are met.
To decrypt files, you need to pay.
We give you 2 days to pay, if you don't make it, the key to decrypt your files will automatically be deleted from our server and you lost your files forever!
0-48 hours = $ 500
How do i pay?
We accept payment in cryptocurrency Monero (XMR). What is Monero (XMR) you can find here: Link to Wikipedia
How to buy Monero (XMR) with USD Credit/Debit Card? You can find here: Link how to buy
You can buy Monero (XMR) with USD Credit/Debit Card here: Payment link
Use this Monero (XMR) wallet address for payment:
446Dzt3vpTsG6XoJ1RnozY4v2jrSdqYAUjUW7U7MVmRHThQDxmfSdqXZuGRAaRSmx9RZC8pD8FyGfX4sDZqfsCoxEKbkXp8
Your personal code, enter it in the subject line of the mail when sending mail:
14557
Contact email for any question:
yogynicof@protonmail.com
After payment, write to our email, indicate your personal code in the subject line and we will send you a decoder in a response letter.

Перевод записки на русский язык:
К сожалению, ваши файлы зашифрованы!!!
Что случилось с моим компьютером?
Ваши важные файлы зашифрованы.
Многие из ваших документов, фото, видео и других файлов больше не работают, потому что они зашифрованы, возможно, вы ищете способ восстановить ваши файлы, но не тратите свое время, никто не сможет восстановить ваши файлы без нашей службы дешифровки.
Смогу ли я восстановить свои файлы?
Мы гарантируем, что вы сможете безопасно и легко восстановить все ваши файлы после выполнения наших условий.
Чтобы расшифровать файлы, вам нужно заплатить.
Мы даем вам 2 дня для оплаты, если вы не сделаете это, ключ для расшифровки ваших файлов будет автоматически удален с нашего сервера, и вы потеряли свои файлы навсегда!
0-48 часов = $500
Как мне платить?
Мы принимаем оплату в криптовалюте Monero (XMR). Что такое Monero (XMR) вы можете найти здесь: Ссылка на Википедию
Как купить Monero (XMR) с помощью кредитной / дебетовой карты USD? Вы можете найти здесь: Ссылка как купить
Вы можете купить Monero (XMR) с кредитной / дебетовой картой в USD здесь: Ссылка для оплаты
Используйте этот адрес кошелька Monero (XMR) для оплаты:
446Dzt3vpTsG6XoJ1RnozY4v2jrSdqYAUjUW7U7MVmRHThQDxmfSdqXZuGRAaRSmx9RZC8pD8FyGfX4sDZqfsCoxEKbkXp8
Ваш персональный код, введите его в строке темы письма при отправке почты:
14557
Контактный email для любого вопроса:
yogynicof@protonmail.com
После оплаты напишите на наш email, укажите свой личный код в строке темы, и мы отправим вам декодер в ответном письме.

---
Адреса ссылок в тексте: 
Ссылка на Википедию - https://en.wikipedia.org/wiki/Monero_(cryptocurrency)
Ссылка как купить - https://ripplecoinnews.com/buy-monero-xmr-with-usd-credit-card
Ссылка для оплаты - https://changelly.com/exchange/usd/xmr

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
.3fr, .7z, .7zip, .acc, .accdb, .ai, .arw, .asp, .aspx, .avi, .backup, .bay, .cdr, .cer, .cpp, .cr2, .crt, .crw, .csproj, .css, .csv, .db3, .dbf, .dcr, .der, .dng, .doc, .docm, .docx, .dotx, .dwg, .dxf, .dxg, .eps, .erf, .flv, .gif, .img, .indd, .ink, .jpe, .jpeg, .jpg, .js, .json, .kdc, .litesql, .log, .lua, .mdb, .mdf, .mef, .mov, .mp3, .mp4, .mpeg, .mrw, .msi, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pdf, .pef, .pem, .pfx, .php, .plist, .png, .ppt, .pptm, .pptx, .ps1, .psd, .pst, .ptx, .py, .pyc, .r3d, .raf, .rar, .raw, .rtf, .rw2, .rwl, .sln, .sql, .sqlite, .sqlite3, .sr2, .srf, .srw, .tif, .tiff, .tmp, .txt, .vbs, .vlf, .wav, .wb2, .wmi, .wmv, .wpd, .wps, .x3f, .xlk, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xml, .zip (122 расширения). 
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
Read-me! 0 .html - название файла с требованием выкупа
Read-me! 1 .html - название файла с требованием выкупа
Read-me! 2 .html - название файла с требованием выкупа
Read-me! 3 .html - название файла с требованием выкупа
Read-me! 4 .html - название файла с требованием выкупа
Read-me! 5 .html - название файла с требованием выкупа
Read-me! 6 .html - название файла с требованием выкупа
Read-me! 7 .html - название файла с требованием выкупа
Read-me! 8 .html - название файла с требованием выкупа
Read-me! 9 .html - название файла с требованием выкупа
Read-me! 10 .html - название файла с требованием выкупа
Read-me! 11 .html - название файла с требованием выкупа
Read-me! 12 .html - название файла с требованием выкупа
Read-me! 13 .html - название файла с требованием выкупа
Read-me! 14 .html - название файла с требованием выкупа
Read-me! 15 .html - название файла с требованием выкупа
Read-me! 16 .html - название файла с требованием выкупа
Read-me! 17 .html - название файла с требованием выкупа
Read-me! 18 .html - название файла с требованием выкупа
Read-me! 19 .html - название файла с требованием выкупа
1d28929f9b02c36ab2c65f916eb2d3b4bd36957c1dee8144a70d51d99d1da9d8.bin.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Users\User\AppData\Local\Temp\1d28929f9b02c36ab2c65f916eb2d3b4bd36957c1dee8144a70d51d99d1da9d8.bin.exe

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: https://en.wikipedia.org/wiki/Monero_(cryptocurrency)
https://ripplecoinnews.com/buy-monero-xmr-with-usd-credit-card
https://changelly.com/exchange/usd/xmr
Email: yogynicof@protonmail.com
Monero (XMR): 446Dzt3vpTsG6XoJ1RnozY4v2jrSdqYAUjUW7U7MVmRHThQDxmfSdqXZuGRAaRSmx9RZC8pD8FyGfX4sDZqfsCoxEKbkXp8
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>  IA>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 29 июня 2020:
Пост в Твиттере >> 
Пост в Твиттере >>
Расширение: - 
Записка (12 штук): Read-me! 0 .html - Read-me! 11 .html
Email: rkhairn@protonmail.com
Файл EXE: Wnm.exe
Результаты анализов: VT + VMR + IA
➤ Обнаружения: 
DrWeb -> Trojan.Encoder.32059
BitDefender -> Trojan.GenericKD.43392220
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AAQ
Rising -> Ransom.Encoder!8.FFD4 (CLOUD)
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_Encoder.R015C0WFQ20

 

➤ Содержание записки:
Oops, your personal files have been encrypted!
Photos, music, documents, work files, etc. are now encrypted and cannot be read.
If you want to return the files, you will have to pay us.
For detailed instructions, email us
rkhairn@protonmail.com
But remember, yon only have 48 hours from the moment of encryption to contact us and pay.
Hurry up, because after 48 hours key for decrypting your files will be deleted from our server and your files will be impossible to return!

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + Tweet + myTweet
 ID Ransomware (ID as Yogynicof)
 Write-up, Topic of Support
 * 

 Thanks: 
 dnwls0719
 Andrew Ivanov (author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.