Joker Korean

Joker Korean Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: ransom.exe. 
---
Обнаружения:
DrWeb -> Trojan.Encoder.33213
BitDefender -> ***
ALYac -> Trojan.Ransom.Filecoder
ESET-NOD32 ->
Kaspersky -> Trojan-Ransom.PowerShell.Agent.af
Malwarebytes ->
Microsoft -> Trojan:Win32/Ymacco.AA0E

Qihoo-360 -> Generic/HEUR/QVM05.1.4CD7.Malware.Gen
Rising -> Trojan.Generic@ML.89 (RDMK:wL9MU5zyFw40
Symantec -> Trojan Horse
Tencent ->
TrendMicro ->


© Генеалогия: HiddenTear >> Joker Korean

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .joker


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Образец этого крипто-вымогателя пришлась был найден в середине ноября 2020 г. Ориентирован на корейскоязычных пользователей, что не мешает распространять его по всему миру. Штамп даты: 18 апреля 2015 года. Значит исходники это вымогателя уже использовались ранее. 

Текстовой записки с требованием выкупа вероятно нет, т.к. используется экран блокировки. 

Исследователь прислал часть текста на корейском языке с переводом на английский. 

Нам удалось извлечь больше корейского текста и перевести его на русский язык, чтобы понять о чём там говорится.  

Содержание записки о выкупе: 

이랜섬웨어를실행해주

셔서 감사합니다.

당신의 컴퓨터는

JOKER 랜섬웨어에 의

해 암호화되었습니다.

이 창을 끈다면 당신의

파일들을 복구할 수 없을

것입니다.

복구를 하기 위해서는 복

구키를 입력하십시오.

복구키는 1부터 999999

까지의수중에서무작위

로생성됩니다.

복구키는

C:\Users\walterwhine

의 POWER-JOKER-PASSWORD.txt 파일

에 저장되어 있습니다.

컴퓨터의 전원을 꺼도

JOKER 랜섬웨어는돌

아올것입니다. 

Перевод записки на русский язык: 
Спасибо, что запустили этот ransomware.

Ваш компьютер был зашифрован JOKER Ransomware.
Если вы закроете это окно, то ваши файлы нельзя будет вернуть.

Введите ключ восстановления, чтобы запустить восстановление. 

Ключи восстановления генерируются случайно от 1 до 999999.

Ключ восстановления хранится в файле POWER-JOKER-PASSWORD.txt

Если даже выключите компьютер JOKER Ransomware вернется.

Также есть файл POWER-JOKER-PASSWORD.txt, в котором должен содержаться ключ восстановления. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 

➤ Используются командный bat-файл и PowerShell для осуществления атаки.  

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
POWER-JOKER-PASSWORD.txt - название файла с требованием выкупа
ransom.exe - название вредоносного файла

clickme.bat - командный файл для запуска

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email:
BTC:
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>  VT>
🐞 Intezer analysis >>  
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 0x4143
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.