Mobef-JustFun

Mobef-JustFun Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует или делает вид, что шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: result.exe или ничего не написано.
---
Обнаружения:
DrWeb -> Trojan.Encoder.33291
BitDefender -> Gen:NN.Zexa*
ESET-NOD32 -> A Variant Of Win32/Filecoder.NGG
Kaspersky -> Trojan-Ransom.Win32.Gen.yzw
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Ransom:Win32/Malasypt.A
Rising -> Ransom.Malasypt!8.59DB (TFE:2*
Symantec -> ML.Attribute.HighConfidence
Tencent -> Win32.Trojan.Filecoder.Pciq
TrendMicro -> Ransom_Malasypt.R002C0DL420


© Генеалогия: предыдущие Mobef >> Mobef-Salam > Mobef-JustFun

Изображение — логотип статьи

К зашифрованным файлам никакое новое расширение не добавляется. 


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на конец ноября 2020 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: IMPORTANT.README

Другим информатором жертвы выступает изображение, заменяющее обои Рабочего стола: 

Содержание записки о выкупе: 

ID:50866378

PC: ***

USER: ***

=======

YOU FILES ENCRYPTED.

IS JUST FUN!!!

C:\Windows\50866378.log

Перевод записки на русский язык: 

ID:50866378

PC: ***

USER: ***

=======

YOU FILES ENCRYPTED.

ЭТО ПРОСТО ШУТКА!!!

C:\Windows\50866378.log

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
IMPORTANT.README - название файла с требованием выкупа

SECRET.KEYFILE  - специальный файл

50866378.log

result.exe - исполняемый файл вымогателя

result.pdb - файл проекта вымогателя

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Z:\build\result.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 ID Ransomware (ID as Mobef)
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.