PewPew Ransomware
Variants: Abkir, Artemis, Optimus
(шифровальщик-вымогатель, стиратель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует или делает вид, что шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: pewpew. На файле написано: Abkir и pewpew.exe. Разработка: pewpew TEAM.
---
Обнаружения:
DrWeb -> Trojan.Siggen10.21398
BitDefender -> Trojan.GenericKD.34531461
ALYac -> Trojan.Ransom.Filecoder
Avira (no cloud) -> HEUR/AGEN.1137405
ESET-NOD32 -> A Variant Of Win32/Packed.Enigma.DS
Malwarebytes -> Ransom.Pewpew
Rising -> PUF.Pack-Enigma!1.BA33 (CLASSIC)
Symantec -> ML.Attribute.HighConfidence
Обнаружения:
DrWeb -> Trojan.Siggen10.21398
BitDefender -> Trojan.GenericKD.34531461
ALYac -> Trojan.Ransom.Filecoder
Avira (no cloud) -> HEUR/AGEN.1137405
ESET-NOD32 -> A Variant Of Win32/Packed.Enigma.DS
Malwarebytes -> Ransom.Pewpew
Rising -> PUF.Pack-Enigma!1.BA33 (CLASSIC)
Symantec -> ML.Attribute.HighConfidence
Tencent -> Win32.Trojan-psw.Fakeransom.Hmrj
TrendMicro -> Ransom_Higuniel.R06EC0DII20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: ✂️ 0kilobypt ✂️ Dharma >> PewPew
TrendMicro -> Ransom_Higuniel.R06EC0DII20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me!
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!
© Генеалогия: ✂️ 0kilobypt ✂️ Dharma >> PewPew
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: .abkir
Фактически используется составное расширение: .id-C4BA3647.[pewpew@TuTa.io].abkir
Шаблон расширения был заимствован из Dharma Ransomware.
Файлы полностью затерты нулями, как это было в случаях с 0kilobypt Ransomware и некоторыми другими.
Файлы полностью затерты нулями, как это было в случаях с 0kilobypt Ransomware и некоторыми другими.
В свете этого, использование ID кажется бессмысленным. Поэтому, уплата выкупа кажется бесполезной...
✋ После публикации статьи представители PewPew сообщили мне, что файлы конвертируются в 0 байтов, если нет связи с хостом. Сам хост находится в США и фильтруется по российским IP-адресам. Поэтому вымогатели всё-таки могут вернуть файлы после уплаты выкупа.
✋ После публикации статьи представители PewPew сообщили мне, что файлы конвертируются в 0 байтов, если нет связи с хостом. Сам хост находится в США и фильтруется по российским IP-адресам. Поэтому вымогатели всё-таки могут вернуть файлы после уплаты выкупа.
Видимо также устанавливается еще какой-то руткит или другой модуль, перехватывающий функции копирования, архивации и прочие.
Если связь с хостом есть, то файлы будут зашифрованными.
Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. Активность этого крипто-вымогателя пришлась на середину сентября 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записки с требованием выкупа называются:
info-decrypt.hta
info-decrypt.txt
Анализ теста показал, что текст записок был заимствован из других программ-вымогателей.
Содержание txt-записки о выкупе:
Перевод txt-записки на русский язык:
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Удаляет теневые копии файлов.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
Анализ теста показал, что текст записок был заимствован из других программ-вымогателей.
Содержание hta-записки о выкупе:
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail : pewpew@TuTa.io
Write this ID in the title of your message : C4BA3647
In case of no answer in 12 hours write us to this e-mail : pewpew@Protonmail.Com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
---
Free decryption as guarantee
Before paying you can send us up to 5 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
---
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
https://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
---
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Перевод hta-записки на русский язык:
Все ваши файлы зашифрованы!
Все ваши файлы зашифрованы из-за проблемы с безопасностью вашего ПК. Если вы хотите их восстановить, напишите нам на email: pewpew@TuTa.io
Напишите этот ID в заголовке сообщения: C4BA3647
Если в течение 12 часов не ответите, напишите нам на этот email-адрес: pewpew@Protonmail.Com
Вы должны заплатить за расшифровку в биткойнах. Цена зависит от того, как быстро вы нам напишите. После оплаты мы вышлем вам инструмент, который расшифрует все ваши файлы.
---
Бесплатная расшифровка как гарантия
Перед оплатой вы можете отправить нам до 5 файлов для бесплатной расшифровки. Общий размер файлов не должен превышать 4 МБ (без архива), и файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т.д.)
---
Как получить биткойны
Самый простой способ купить биткойны - это сайт LocalBitcoins. Вам необходимо зарегистрироваться, нажать "Купить биткойны" и выбрать продавца по способу оплаты и цене.
https://localbitcoins.com/buy_bitcoins
Также вы можете найти другие места для покупки биткойнов и руководство для начинающих здесь:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
---
Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровать ваши данные с помощью сторонних программ, это может привести к безвозвратной потере данных.
Расшифровка ваших файлов с помощью третьих лиц может вызвать повышение цены (они прибавляют свою цену к нашей) или вы можете стать жертвой мошенничества.
All your files have been encrypted !
( All your files have been encrypted with AES256 + RSA2048 Algorithm due to a security problem with your PC )
- If you want to restore them, write us to the e-mail : pewpew@TuTa.io
- Write this ID in the title of your message : C4BA3647
- If you do not receive a response within 12 hours, send a message to this email : pewpew@Protonmail.Com
( You have to pay for decryption in Bitcoins )
- The price depends on how fast you write to us.
- After payment we will send you the decryption tool that will decrypt all your files.
( Free decryption as guarantee )
- Before paying you can send us up to 1 file for free decryption.
- The total size of files must be less than 1Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
( How to obtain Bitcoins )
- The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
- https://localbitcoins.com/buy_bitcoins
- Also you can find other places to buy Bitcoins and beginners guide here:
- http://www.coindesk.com/information/how-can-i-buy-bitcoins/
- [ pewpew TEAM ]
Перевод txt-записки на русский язык:
Все ваши файлы зашифрованы!
(Все ваши файлы были зашифрованы с алгоритмом AES256 + RSA2048 из-за проблемы с безопасностью вашего ПК)
- Если вы хотите их восстановить, напишите нам на email: pewpew@TuTa.io
- Напишите этот идентификатор в заголовке сообщения: C4BA3647.
- Если вы не получили ответ за 12 часов, отправьте сообщение на этот email-адрес: pewpew@Protonmail.Com
(Вы должны заплатить за расшифровку в биткойнах)
- Цена зависит от того, как быстро вы нам напишите.
- После оплаты мы вышлем вам расшифровку, которая расшифрует все ваши файлы.
(Бесплатная расшифровка как гарантия)
- Перед оплатой вы можете отправить нам до 1 файла для бесплатной расшифровки.
- Общий размер файлов не должен превышать 1 МБ (не в архиве), и файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т. д.)
(Как получить биткойны)
- Самый простой способ купить биткойны - это сайт LocalBitcoins. Вам надо зарегистрироваться, нажать "Купить биткойны" и выбрать продавца по способу оплаты и цене.
- https://localbitcoins.com/buy_bitcoins
- Также вы можете найти другие места для покупки биткойнов и руководство для начинающих здесь:
- http://www.coindesk.com/information/how-can-i-buy-bitcoins/
- [pewpew TEAM]
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
Нужно всегда использовать Актуальную антивирусную защиту!!!Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
➤ Удаляет теневые копии файлов.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
info-decrypt.hta - название файла с требованием выкупа
info-decrypt.txt - название файла с требованием выкупа
pewpew.exe - название вредоносного файла
Сообщение от одного из вымогателей в комментариях к файлу на сайте VT.
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email: pewpew@TuTa.io, pewpew@Protonmail.Com
BTC: -
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
Обновление от 14 октября 2020:
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Обновление от 14 октября 2020:
Пост в Твиттере >>
Расширение: .artemis
Расширение: .artemis
Составное расширение: .id-9C354B42.[khalate@tutanota.com].artemis
Записка: info-decrypt.hta
Записка: info-decrypt.hta
URL: xxxx://randomware01.info/?submit
Файл EXE: Artemis.exe
Файл EXE: Artemis.exe
Результаты анализов: VT + VMR + IA
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Вариант от 16 марта 2021:
Расширение: .optimus
Новый шаблон расширения: .id[<ID>].[email].optimus
Пример полного расширения: .id[7C72FDA0].[optimus982@tutanota.com].optimus
Записка: ReadMe-[7C72FDA0].txt
Email: optimus982@tutanota.com, khomeyni@tutanota.de
➤ Содержание записки:
Artemis
!!! All your files encrypted !!!
You Have to Pay For The Restore
To Decrypt (Restore) them send e-mail to this address: optimus982@tutanota.com
If we don't answer in 24h., send e-mail to this address: khomeyni@tutanota.de
Your Unique ID : 7C72FDA0
Вариант от 18 марта 2021:
Расширение: .optimus
Email: sikbeker@tuta.io, sikbeker@protonmail.ch
Аналогичен варианту от 16 марта (см. выше).
Вариант от 7 декабря 2021:
Расширение: .lama
Пример полного расширения: .id[35C5675D].[badlamadec@gmail.com].lama
Записка: ReadMe-[35C5675D].txt
Email: badlamadec@gmail.com, badlamadec@msgsafe.io
Большой зашифрованный zip-архив можно частично восстановить с помощью архиватора 7-zip, так как зашифровано только начало файла.
Вариант от 21 марта 2022:
Расширение: .optimus
Расширение (пример): .(MJ-XH34816XXXXX)(Decryption.helper@aol.com).Cj.id[A80XXXXX].[unlockdeer@gmail.com].optimus
Записка: ReadMe-[A8027869].txt
Email: unlockdeer@gmail.com, unlockdeer@msgsafe.io
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + Tweet + myTweet ID Ransomware (ID as PewPew) Write-up, Topic of Support *
Thanks: GrujaRS, Michael Gillespie, xiaopao Andrew Ivanov (author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Hello.
ОтветитьУдалитьWhen files are converted to 0 bytes without communication with the host
Our host is from the United States and is filtered on Russian IPs.
So ransom is not a problem.