SifreCikis

SifreCikis Ransomware

TurkSifre-2 Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в $500 BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных.
---
Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Malwarebytes ->
Rising ->
Symantec ->
TrendMicro ->


© Генеалогия: SifreCozucu > SifreCikis

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение, шаблон которого можно записать как: 

.<RANDOM_PC_ID{12}>

или 

.<PC_ID{12}>

Пример такого расшиения: .E02F4934FC5A

Этимология названия:

Используемый вымогателями адрес sifrecikx7s62cjv.onion начинается на фразу "sifrecikx", это созвучно sifre cikis (по-турецки: şifre çıkış - шифр + выход). 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало ноября 2020 г., но могла бы и раньше. Ориентирован на англоязычных пользователей, что не мешает распространять его по всему миру.

Записка с требованием выкупа называется: ***нет данных***

Содержание записки о выкупе: 

DOSYALARINIZ SIFRELENDI....

DOSYALARINIZIN SIFRESINI COZMEK ICIN.

nitas811@protonmail.com MAIL ADRESIMIZE

KONU KISMINDA PC ID'NIZ [xxxxxxxxxxxx] OLAN MAIL ATINIZ..

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

PROGRAM UCRETI : 500 $

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

MAIL ADRESIMIZDEN AYNI GUN ICINDE CEVAP ALAMAZSANIZ EGER..!

WEB SITEMIZDEN GUNCEL MAIL ADRESIMIZE ULASABILIRSINIZ..

WEB SITEMIZ : http://www.sifrecikx7s62cjv.onion

WEB SITEMIZ SADECE TOR BROWSER ILE ACILMAKTADIR..

TOR BROWSER INDIRME ADRESI : https://www.torproject.org/tr/download

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

DATA KURTARMA SERVISLERI YADA PROGRAMLARI KULLANMAK ISTERSENIZ

LUTFEN DOSYALARINIZIN YEDEGINI ALIN..

ALDIGINIZ BU YEDEKLER UZERINDEN ISLEM YAPINIZ VEYA YAPTIRINIZ.

DOSYALARINIZI SILMEYINIZ VE ISIMLERINI DEGISTIRMEYINIZ.

ASIL DOSYALARIN BOZULMASI,

VERILERINIZIN GERI DONULEMEZ SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.

Перевод записки на русский язык: 

Ваши файлы зашифрованы....

Для расшифровки ваших файлов

Пишите на наш email nitas811@protonmail.com

В теме письма укажите email адрес с PC ID[xxxxxxxxxxxx].

- = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = 

Стоимость программы: 500 $

- = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = 

Если вы не получите ответ с нашего email адреса в тот же день..!

Вы можете связаться с нами по email адресу на нашем веб-сайте.

Наш сайт: http://www.sifrecikx7s62cjv.onion

Наш сайт работает только с браузером Tor.

Адрес загрузки браузера Tor: https://www.torproject.org/tr/download

- = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = - = 

Если вы хотите использовать сервисы или программы восстановления данных

Пожалуйста, сделайте резервную копию ваших файлов..

Примите меры к этим резервным копиям, которые вы сделали или уже сделали.

Не удаляйте файлы и не меняйте их имена.

Повреждение исходных файлов,

приведет к необратимому повреждению ваших данных.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
<ransom_note>.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://www.sifrecikx7s62cjv.onion

Email-1: nitas811@protonmail.com

Email-2: niduz59@protonmail.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Обновлениеот 12 ноября 2020:

Пост на форуме >>

Расширение: .<RANDOM_PC_ID{12}>

Email: niduz59@protonmail.com

Tor-URL: http://www.sifrecikx7s62cjv.onion

➤ Содержание записки:

Dosyalariniz sifrelendi, dosyalarinizin sifresini cozmek icin.

niduz59@protonmail.com mail adresimize

Konu kisminda PC ID'niz [000A5E3E6B8C] olan mail atiniz.

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

             Program Ucreti : 500 $

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

Cok fazla sikayet oldugu icin mail adreslerimiz surekli kapatilmaktadir.!

Bu yuzden mailinize 3/4 saat icinde cevap alamazsaniz

Web sitemizden guncel mail adresimize ulasabilirsiniz..

Web sitemiz : http://www.sifrecikx7s62cjv.onion

Web sitemiz sadece Tor Browser ile acilmaktadir..

Tor Browser indirme adresi : https://www.torproject.org/tr/download

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

Data kurtarma servisleri yada programlari kullanmak isterseniz

Lutfen dosyalarinizin yedegini aliniz..

Aldiginiz bu yedekler uzerinde islem yapiniz veya yaptiriniz..

Dosyalarinizi silmeyiniz ve isimlerini degistirmeyiniz..

Asil dosyalarinizin bozulmasi..

VERILERINIZIN KURTARILAMAYACAK SEKILDE ZARAR GORMESINE NEDEN OLACAKDIR.

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

Not : iLetisim icin lutfen FIRMA MAILINIZI kullaniniz.

Firma maili olmayan BUTUN mailler okunmadan  'SPAM' olarak isaretlenip silinmektedir..

-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message
 ID Ransomware (ID as ***)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Ivanov (article author)
 quietman7
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.