HolidayCheer

HolidayCheer Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $40 в BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: HolidayCheer.exe. Использует библиотеку Crypto++. 
---
Обнаружения:
DrWeb -> ***
BitDefender -> Gen:Heur.Ransom.REntS.Gen.1
ESET-NOD32 -> ***
Kaspersky -> ***
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Vigorf.A, Ransom:Win32/FileCrypter.MK!MTB

Qihoo-360 -> Generic/Trojan.Ransom.ec8
Rising -> Trojan.Generic@AI.91 (RDML:v/cYWwuka*
Symantec -> ML.Attribute.HighConfidence
Tencent -> ***
TrendMicro -> CallTROJ_GEN.R002H09KD20


© Генеалогия: ??? >> HolidayCheer

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: *нет данных*.
 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на первую половину ноября 2020 г. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называются: от AttentionVictim1.txt до 

AttentionVictim20.txt

Содержание записки о выкупе: 

YOUR FILES HAVE BEEN ENCRYPTED!

Dear victim: 

Files have been encrypted! And Your computer has been limited!

To unlock your PC you must pay with one of the payment methods provided, we regularly check your activity of your screen and to see if you have paid. Paypal automatically sends us a notification once you've paid, But if it doesn't unlock your PC upon payment contact us (TheNorthPolean@protonmail.com)

Reference Number : CT - 8675***

When you pay via BTC, send us an email following your REF Number if your PC doesn't unencrypt. Once you pay, Your PC will de decrypted. However if you don't within 14 days we will continue to infect your PC and extract all your data and use it. 

Google 'how to buy / pay with Bitcoin' if you don't know how. To pay by Bitcoin : send $40 to our bitcoin wallet:

38ccq12hPFoiSksxUdr6SQ5VosyjY7s9AU

flag in base64: ZmxhZ3tUaGFua3NGb3JSZWFkaW5nVG9UaGVFb***

Перевод записки на русский язык: 

ВАШИ ФАЙЛЫ ЗАШИФРОВАНЫ!

Уважаемая жертва:

Файлы зашифрованы! И ваш компьютер ограничен!

Чтобы разблокировать компьютер, вы должны заплатить одним из предложенных способов оплаты, мы регулярно проверяем активность вашего экрана и проверяем, заплатили ли вы. Paypal автоматически отправляет нам уведомление после оплаты, но если он не разблокирует ваш компьютер после оплаты, свяжитесь с нами (TheNorthPolean@protonmail.com)

Номер ссылки: CT - 8675 ***

При оплате через BTC отправьте нам email после вашего номера REF, если ваш компьютер не расшифруется. После оплаты ваш компьютер будет расшифрован. Однако, если вы этого не сделаете в течение 14 дней, мы продолжим заражать ваш компьютер, извлекать все ваши данные и использовать их.

Погуглите, "как купить / платить с помощью биткойнов", если вы не знаете, как это сделать. Для оплаты биткойнами: отправьте $40 на наш биткойн-кошелек:

38ccq12hPFoiSksxUdr6SQ5VosyjY7s9AU

флаг в base64: ZmxhZ3tUaGFua3NGb3JSZWFkaW5nVG9UaGVFb***

Кроме того HolidayCheer содержит скрытое сообщение. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
AttentionVictim1.txt - AttentionVictim30.txt - названия файлов с требованием выкупа 
HolidayCheer.exe - название вредоносного файла

 

По мнению исследователя похоже на вымогатель для CTF.

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

C:\Users\<USER>\AppData\Local\Temp\AttentionVictim1.txt

***

C:\Users\<USER>\AppData\Local\Temp\AttentionVictim20.txt

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: TheNorthPolean@protonmail.com
BTC: 38ccq12hPFoiSksxUdr6SQ5VosyjY7s9AU
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 MalwareHunterTeam, Comrade335
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.