CryptoJoker 2020

CryptoJoker 2020 Ransomware

CryptoJoker-Nocry Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в 50€ в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: CryptoJoker.exe и NoCryCryptor. Новая вариация CryptoJoker, которая появляется каждый год, начиная с 2016 года. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.33011
BitDefender -> DeepScan:Generic.Ransom.Hiddentear.A.17A920E3
ALYac -> Trojan.Ransom.CryptoJoker
ESET-NOD32 -> A Variant Of MSIL/Filecoder.CryptoJoker.C
Malwarebytes -> Ransom.CryptoJoker

Microsoft -> Ransom:MSIL/CryptJoke.B!bit
Rising -> Ransom.CryptJoke!8.EC67 (TFE*
Symantec -> ML.Attribute.HighConfidence

Tencent -> Win32.Trojan.Raas.Auto
TrendMicro -> Ransom_CryptJoke.R002C0DKA20


© Генеалогия: CryptoJoker 2016 ✂️ + EDA2 >> Executioner ⇔ CryptoJoker 2017 > ExecutionerPlus > CryptoNar (CryptoJoker 2018) > CryptoJoker 2019 > CryptoJoker 2020

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .nocry

Но используется, как в предыдущих вариантах в составе двух типов:

.partially.nocry

.fully.nocry

Одно используется для частичного шифрования файлов, другое для полного шифрования файлов. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало ноября 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: CryptoJoker Recovery Information.txt

Содержание записки о выкупе: 

Hello! I am NocryCrypt0r

My name is NocryCrypt0r. I have encrypted all your precious files including images, videos, songs, text files, word files and etc.  So long story short, you are screwed... but you are lucky in a way. Why is that ?? I am ransomware that leave you an unlimited amount of time to gather the money

to pay me. I am not gonna go somewhere, neither do your encrypted files.

FAQ:

1. Can i get my precious files back??

Answer: Ofcourse you can. There is just a minor detail. You have to pay to get them back.

2. Ok, how i am gonna get them back?

Answer: You have to pay 50�  in bitcoin.

3. There isn't any other way to get back my files ?

Answer: Nahhh. Just our service.

4. Ok, what i have to do then ?

Answer: Simply, you will have to pay 50�  to this bitcoin address: 1yh3eJjuXwqqXgpu8stnojm148b8d6NFQ . When time comes to send me the money, make sure to include your e-mail and your personal ID(you can see it bellow) in the extra information box (it may apper also as 'Extra Note' or 'optional message') in order to get your personal decryption key. It may take up to 6-8 hours to take your personal decryption key.

5. What the heck bitcoin is ?

Answer: Bitcoin is a cryptocurrency and a digital payment system. You can see more information here: https://en.wikipedia.org/wiki/Bitcoin . I recommend to use 'Coinbase' or 'Bitcoin Wallet' as a bitcoin wallet, if you are new to the bitcoin-wallet. Ofcourse you can pay me from whatever bitcoin wallet you want, it deosn't really matter.

6. Is there any chance to unclock my files for free ?

Answer: Not really. After 1-2 or max 3 years there is propably gonna be released a free decryptor. So if you want to wait... it's fine. As i said, i am not gonna go somewhere.

7. What i have to do after getting my decryption key ?

Answer: Simple. Just press the decryption button bellow. Enter your decryption key you received, and wait until the decryption process is done.

Your personal ID: C4BA3647178BFBFF00050***

Перевод записки на русский язык: 

Привет! Я NocryCrypt0r

Меня зовут NocryCrypt0r. Я зашифровал все ваши драгоценные файлы, включая изображения, видео, песни, текстовые файлы, word-файлы и т.д. Короче говоря, вы облажались ... но в каком-то смысле вам повезло. Почему это?? Я программа-вымогатель, которая оставляет вам неограниченное время на сбор денег заплатить мне. Я никуда не уйду, и твои зашифрованные файлы тоже.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ:

1. Могу ли я вернуть свои драгоценные файлы?

Ответ: Конечно, можно. Небольшая деталь. Вы должны заплатить, чтобы вернуть их.

2. Хорошо, как мне их вернуть?

Ответ: Вы должны заплатить 50 евро в биткойнах.

3. Нет другого способа вернуть мои файлы?

Ответ: Неее. Просто наш сервис.

4. Хорошо, что мне тогда делать?

Ответ: Просто вам нужно будет заплатить 50 евро на этот биткойн-адрес: 1yh3eJjuXwqqXgpu8stnojm148b8d6NFQ. Когда придет время отправить мне деньги, обязательно укажите свой адрес email и свой личный ID (вы можете увидеть его ниже) в поле для дополнительной информации (оно может также отображаться как «Дополнительная заметка» или «дополнительное сообщение») в чтобы получить персональный ключ дешифрования. Получение личного ключа дешифрования может занять до 6-8 часов.

5. Что такое биткойн?

Ответ: Биткойн - это криптовалюта и цифровая платежная система. Вы можете увидеть дополнительную информацию здесь: https://en.wikipedia.org/wiki/Bitcoin. Я рекомендую использовать Coinbase или Bitcoin Wallet в качестве биткойн-кошелька, если вы новичок в биткойн-кошельке. Конечно, вы можете заплатить мне из любого биткойн-кошелька, какой захотите, это не имеет особого значения.

6. Есть ли шанс бесплатно разблокировать мои файлы?

Ответ: Не совсем. Через 1-2 или максимум 3 года, вероятно, будет выпущен бесплатный дешифратор. Так что если вы хотите подождать ... все в порядке. Как я уже сказал, я никуда не пойду.

7. Что мне делать после получения ключа дешифрования?

Ответ: просто. Просто нажмите кнопку дешифрования ниже. Введите полученный ключ дешифрования и дождитесь завершения процесса дешифрования.

Ваш личный ID: C4BA3647178BFBFF00050***

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
CryptoJoker Recovery Information.txt - название файла с требованием выкупа
NoCryDecrypt0r.exe - название вредоносного файла

CryptoJoker.pdb - название оригинального файла проекта

CryptoJoker.exe - название оригинального имполняемого файла

 

 

 

Используемые названия:

CryptoJoker A.E

CryptoJokerDecryptor

CryptoJoker 2017

NoCryCryptor

NoCry

NoCryDecrypt0r

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\aguim\Desktop\CryptoJoker-master\CryptoJoker-master\CryptoJoker\obj\Debug\CryptoJoker.pdb

C:\Users\Revolution\documents\visual studio 2017\Projects\CryptoJoker\CryptoJokerGUI\obj\Debug\CryptoJoker.pdb

Примечательно, что это тот же разработчик, что и в OnyxLocker (2020). 

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: 1yh3eJjuXwqqXgpu8stnojm148b8d6NFQ
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

CryptoJoker 2016 Ransomware - январь 2016
Executioner Ransomware - начало июня 2017
CryptoJoker 2017 Ransomware - середина июня 2017
ExecutionerPlus Ransomware - декабрь 2017
CryptoNar (CryptoJoker 2018) Ransomware - август 2018
CryptoJoker 2019 Ransomware - сентябрь 2019
CryptoJoker 2020 Ransomware - ноябрь 2020
CryptoJoker 2021 Ransomware - октябрь 2021

CryptoJoker 2022 Ransomware - март 2022

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновление от 23 ноября 2020:

Сообщение >>

Используемые расширения: .nocry

.partially.nocry

.fully.nocry

.partially@aaathats3as.com.partially.nocry

Email: partially@aaathats3as.com

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

В некоторых случаях файлы можно расшифровать!
Сообщение Kangxiaopao >>
Нужен 360 Ransomware Decryption Tools или 360 TotalSecurity

 Read to links: 
 Message + Message
 ID Ransomware (ID as CryptoJoker)
 Write-up, Topic of Support
 * 

 Thanks: 
 Kangxiaopao, Michael Gillespie
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.