Exerwa Ransomware
Exerwa CTF Ransomware
(шифровальщик-вымогатель) (первоисточник)
Translation into English
Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: Exerwa (Ekserva). На файле написано: нет данных.
---
Обнаружения:
DrWeb -> Exploit.Siggen2.65197
BitDefender -> Trojan.GenericKD.35314079
ALYac -> Trojan.Downloader.DOC.Gen
Avira (no cloud) -> W97M/Hancitor.heshl
ESET-NOD32 -> ***
Kaspersky -> HEUR:Trojan.MSOffice.SAgent.gen
Malwarebytes -> ***
Microsoft -> ***
Rising -> ***
Symantec -> W97M.Downloader
Tencent -> ***
TrendMicro -> TROJ_FRS.VSNW17K20
© Генеалогия: другие вредоносы с макросами >> Exerwa CTF
Изображение — логотип статьи
К зашифрованным файлам добавляется расширение: .exerwa
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Активность этого крипто-вымогателя пришлась на середину ноября 2020 г. На момент написания статьи было известно только о пострадавших в Венгрии. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.
Записка с требованием выкупа называется: ***нет данных***
Содержание документа с макросами написано на английском и венгерском языках. В нём предлагается включить макросы, чтобы зашифровать файлы.
Технические детали
Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.
![](https://3.bp.blogspot.com/-g1khX78dPVo/WyNq6za-WMI/AAAAAAAAKz4/Jw7rid06qoAqXR3Q0hnbkblRfwOfN_ESgCLcBGAs/s1600/gen_info.png)
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1.
Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.
Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа
Patent_656419797_as-of-27thJune2020.doc - название вредоносного файла с макросами
decode.bat
exec.exe
script.ps1
Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->
C:\Documents and Settings\%USERNAME%\Exerwa\decode.bat
C:\Users\admin\Exerwa\exec.exe
C:\Users\admin\Exerwa\script.enc
C:\Users\admin\Exerwa\script.ps1
C:\Users\admin\Exerwa\decode.bat
C:\Users\admin\AppData\Local\Temp\~$tent_656419797_as-of-27thJune2020.doc
C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$Normal.dotm
C:\Users\admin\AppData\Local\Temp\CVR7140.tmp.cvr
Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.
Мьютексы:
См. ниже результаты анализов.
Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.
Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺 VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ ANY.RUN analysis >>
ⴵ VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>
Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.
=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===
=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===
Ещё не было обновлений этого варианта.
=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
Read to links: Tweet on Twitter + Tweet ID Ransomware (ID as Exerwa CTF) Write-up, Topic of Support *
Thanks: Michael Gillespie, MalwareHunterTeam Andrew Ivanov (article author) *** to the victims who sent the samples
© Amigo-A (Andrew Ivanov): All blog articles. Contact.
Комментариев нет:
Отправить комментарий
ВНИМАНИЕ!
Новые комментарии проверяются. Всё, кроме спама, будет опубликовано. Вам нужен Google аккаунт для комментария.
---
Please note!
New comments are moderated. Anything other than spam will be published. You need a Google account to post a comment.
---
Bitte beachten Sie!
Neue Kommentare werden moderiert. Alle Kommentare, die kein Spam sind, werden veröffentlicht. Sie benötigen ein Google-Konto, um einen Kommentar zu hinterlassen.
---
Veuillez noter!
Les nouveaux commentaires sont modérés. Tous les commentaires, à l'exception des spams, seront publiés. Vous devez disposer d'un compte Google pour publier un commentaire.
---
¡Tenga en cuenta!
Los nuevos comentarios son moderados. Se publicarán todos los comentarios excepto el spam. Para escribir un comentario necesitas una cuenta de Google.