ScatterBrain

ScatterBrain Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+ChaCha, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: ScatterBrain. На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Trojan.Encoder.32967
BitDefender -> Trojan.GenericKD.44252380
Avira (no cloud) -> TR/Ransom.qzozq
ESET-NOD32 -> MSIL/Filecoder.ACY
Malwarebytes -> Ransom.FileCryptor
Symantec -> Ransom.Wannacry
TrendMicro -> TROJ_GEN.R069H0DJS20
---
To AV vendors! Want to be on this list regularly or be higher on the list? Contact me! 
AV вендорам! Хотите быть в этом списке регулярно или повыше? Сообщите мне!

© Генеалогия: ??? >> ScatterBrain

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .encrypted
 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец октября 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: contactUs.txt

Содержание записки о выкупе: 

This is your decryption info-pack. Here you can find information on how to decrypt your files and continue with your business. 

FAQ: 

This decryption pack contains: contactUs.txt (this file), 

encryptedFiles.txt (files that have been encrypted) - do not delete this file if your wish to decrypt your files later on, 

RSA-EncryptedKey.txt - encrypted information containing the decryption password. Quote this key during any communication with us. 

====================================================================================================

Q: Why should I trust you? 

1) We guarantee that your files will be decrypted if you contact us within a reasonable timeframe. Nobody would do business with us if we could not deliver on this promise. 

Q: What is that you can do ? 

2) Our promise is that we WILL provide the decrypter and decryption keys to each of the affected workstations on your network and we WILL provide a proof of our words to you on request. 

Q: How much will it cost me to bring my files back ? 

3) Price for the decryption key and the deletion of your sensitive data from our servers can be negotiated over the contact details provided. We are happy to apply a discounted price if you contact us early. 

Q: How do I contact you ? 

4) Should you wish to proceed with our offer, please contact us at anon4113@protonmail.com. We will respond within reasonable time to set up the meeting and answer all your questions. 

====================================================================================================

Please note that a failure to respond within 7 days will have the consequences of your stakeholder data being released to the public which may damage your company trust and reputation. We hope to hear from you soon.

Перевод записки на русский язык: 

Это ваш информационный пакет для расшифровки. Здесь вы можете найти информацию о том, как расшифровать ваши файлы и продолжить свой бизнес.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ:

Этот пакет расшифровки содержит: contactUs.txt (этот файл),

encryptedFiles.txt (файлы, которые были зашифрованы) - не удаляйте этот файл, если вы хотите расшифровать ваши файлы позже,

RSA-EncryptedKey.txt - зашифрованная информация, содержащая пароль для дешифрования. Процитируйте этот ключ при любом общении с нами.

================================================== ==================================================

В: Почему я должен вам доверять?

1) Мы гарантируем, что ваши файлы будут расшифрованы, если вы свяжетесь с нами в разумные сроки. Никто не стал бы вести с нами дела, если бы мы не смогли выполнить это обещание.

В: Что вы можете сделать?

2) Мы обещаем, что мы предоставим дешифратор и ключи дешифрования для каждой из затронутых рабочих станций в вашей сети, и мы предоставим вам подтверждение наших слов по запросу.

В: Сколько мне будет стоить вернуть мои файлы?

3) Стоимость ключа дешифрования и удаления ваших конфиденциальных данных с наших серверов может быть согласована по предоставленным контактным данным. Мы будем рады применить скидку, если вы свяжетесь с нами раньше.

Q: Как с вами связаться?

4) Если вы хотите продолжить работу с нашим предложением, свяжитесь с нами по адресу anon4113@protonmail.com. Мы ответим в разумные сроки, чтобы назначить встречу и ответить на все ваши вопросы.

================================================== ==================================================

Обратите внимание, что отсутствие ответа в течение 7 дней повлечет за собой разглашение данных ваших заинтересованных сторон, что может нанести ущерб доверию и репутации вашей компании. Мы надеемся услышать вас скоро.

---

Другим информатором жертвы выступает изображение, заменяющее обои Рабочего стола.

Содержание текста с этого изображения:

This company network was riddled with vulnerabilities and in consequence has suffered a breach. When you disregard the security of the system in favour of savings that is where bad things happen. We took advantage of that.

As you might have already noticed your important files have been encrypted, they can be recognized as having *.encrypted extension. Any tempering with these files will result in unrecoverable damage. Do not change the extensions if you wish to decrypt those files later on.

Windows restore points have been deleted, reverting to previous state is impossible unless you were keeping regular offline backups of your files from each of the workstations....

Your critical files such as clients information and your stakeholder data was exfiltrated. Ask for the sample if you need a proof.

This sensitive data has not been released to anyone, yet.

We are willing to work with you to maintain your company trust and reputation in the eyes of those who you do business with.

Our contact details and decryption instructions can be found in C:\ProgramData\DecryptionPack\contactUs.txt on each of the affected

workstations.

For us it is business and not personal.

Перевод текст ан арусский язык:

Сеть этой компании была пронизана уязвимостями и, как следствие, пострадала от взлома. Когда вы пренебрегаете безопасностью системы в пользу экономии, тогда случаются плохие вещи. Мы этим воспользовались.

Как вы, возможно, уже заметили, ваши важные файлы были зашифрованы, их можно распознать как имеющие расширение * .encrypted. Любое 

вмешательство в эти файлы приведет к невосстановимому ущербу. Не меняйте расширения, если вы хотите расшифровать эти файлы позже.

Точки восстановления Windows были удалены, возврат к предыдущему состоянию невозможен, если вы не делали регулярные автономные резервные копии ваших файлов с каждой из рабочих станций ....

Ваши важные файлы, такие как информация о клиентах и ​​данные ваших заинтересованных сторон, были украдены. Если вам нужны доказательства, попросите образец.

Эти конфиденциальные данные пока никому не переданы.

Мы готовы работать с вами, чтобы поддерживать доверие и репутацию вашей компании в глазах тех, с кем вы ведете бизнес.

Наши контактные данные и инструкции по расшифровке можно найти в C:\ProgramData\DecryptionPack\contactUs.txt на каждом из затронутых

рабочие станции.

Для нас это бизнес, а не личное.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
contactUs.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

ScatterBrain.pdb - оригинальное название проекта

filesToEncrypt.txt

encryptedFiles.txt

RSA-EncryptedKey.txt

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\admin\Desktop\ScatterBrain-slim\x64\Release\ScatterBrain.pdb

C:\ProgramData\DecryptionPack

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: anon4113@protonmail.com
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Tweet on Twitter + myTweet
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.