Geneve

Geneve Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-256 + RSA-2048 (из сообщения вымогателей), а затем требует выкуп в $400-$800 в BTC, чтобы вернуть файлы. Оригинальное название: вероятно, Geneve. На файле написано: нет данных.
---
Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->
---

© Генеалогия: Nomikon ? > Geneve

Изображение — логотип статьи

К зашифрованным файлам добавляется случайное расширение: .<random>
В одном из примеров: .fezmm


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на вторую половину августа 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: DECRYPT.html

Содержание записки о выкупе:
Your files are encrypted    The price will be doubled on August 30, 2020 01:41:45
How to decrypt your files?
You need to buy a decryptor. Decryptor - is a software which we create for each client separately, it contains unique private key to recover client's files.
This is a business for us and we work honestly. If we do not do our work and liabilities - no one will cooperate with us.
Current price: $400 ≈ 0.03466305 BTC
Next price:      $800 ≈ 0.06932609 BTC
How to buy decryptor?
Send us an email to: 
geneve010@protonmail.com
 or 
geneve020@protonmail.com
In subject line of your message write your personal ID: 
8510198-f59e1450-1f33-4214-9352-a8ec0336ebc8-fezmm
Create a Bitcoin Wallet (we recommend blockchain.com)
Buy the necessary amount of Bitcoins. Current amount for buying is 
0.03466305
 BTC
Send amount to the address that you receive when write to us
Download decryptor from the email message
* We guarantee that you can decrypt all your files quickly and safely.
Why should I pay?
Why should I pay if there are free decryptors in the internet? So, we have an answer. There are some programs which storage private key on the client machine and it gives a chance for antivirus companies to find it and recover files. We don't work in this way. Private key storage on our servers and have never been on your machine.
Maybe in-build functionality of Windows "shadow copies" can help you? They could, but we deleted them all.
What about file restore programs? We have cared about it also. There is a cipher utility which populate each sector of your HDD with zero, then with one and then again with zero. It kills chances to restore files from HDD sectors.
What if hack encryption algorithm? We use (AES256 with RSA-2048) algorithm it makes not possible decryption without private key (even NSA can't hack it).
It means there is no chance to restore your files without our software. If you try, you can lose your files and we will not be able to help you.
What guarantees?
To verify the possibility of the recovery of your files we can decrypt one image file for free.
You can send it by email, the size of image should be less then 5mb.

Перевод записки на русский язык:
Ваши файлы зашифрованы    30 августа 2020 г. цена будет удвоена 01:41:45
Как расшифровать ваши файлы?
Вам нужно купить дешифратор. Decryptor - это программа, которую мы создаем для каждого клиента отдельно, она содержит уникальный закрытый ключ для восстановления файлов клиента.
Это наш бизнес, и мы работаем честно. Если мы не будем выполнять свою работу и обязательства - с нами никто не будет сотрудничать.
Текущая цена: $400 ≈ 0,03466305 BTC
Следующая цена: $800 ≈ 0,06932609 BTC
Как купить дешифратор?
Отправьте нам письмо по адресу:
geneve010@protonmail.com
 или
geneve020@protonmail.com
В теме сообщения укажите свой личный идентификатор:
8510198-f59e1450-1f33-4214-9352-a8ec0336ebc8-fezmm
Создайте биткойн-кошелек (мы рекомендуем blockchain.com)
Купите нужное количество биткойнов. Текущая сумма покупки составляет
0,03466305
 BTC
Отправьте сумму на адрес, который вы получите при написании нам
Скачайте дешифратор из email-сообщения
* Мы гарантируем, что вы сможете быстро и безопасно расшифровать все свои файлы.
Зачем мне платить?
Зачем платить, если в интернете есть бесплатные дешифраторы? Итак, у нас есть ответ. Есть несколько программ, которые хранят закрытый ключ на клиентском компьютере, и это дает возможность антивирусным компаниям найти его и восстановить файлы. Мы так не работаем. Хранение приватных ключей на наших серверах, и никогда на вашем компьютере.
Может быть, встроенная функциональность "теневых копий" Windows может вам помочь? Могла, но мы удалили их все.
А как насчет программ восстановления файлов? Мы тоже об этом позаботились. Существует утилита шифрования, которая заполняет каждый сектор вашего жесткого диска нулем, затем единицей, а затем снова нулем. Это убивает шансы на восстановление файлов с секторов HDD.
Что делать, если взломать алгоритм шифрования? Мы используем алгоритм (AES256 с RSA-2048), он делает невозможным дешифрование без закрытого ключа (даже NSA не может его взломать).
Это означает, что без нашей программы невозможно восстановить ваши файлы. Если вы попытаетесь, вы можете потерять свои файлы, и мы не сможем вам помочь.
Какие гарантии?
Чтобы проверить возможность восстановления ваших файлов, мы можем бесплатно расшифровать один файл изображения.
Вы можете отправить его по email, размер изображения не должен превышать 5 МБ.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
DECRYPT.html - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: geneve010@protonmail.com
geneve020@protonmail.com
BTC: 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter: myTweet
 ID Ransomware (ID as Geneve)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (author), Michael Gillespie
 ***
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.