Epsilon

Epsilon Ransomware

Aliases: EpsilonCrypt, Crimson

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES, затем ещё и с алгоритмом RC4, а затем требует написать на email, чтобы узнать как заплатить выкуп и вернуть файлы. Оригинальное название: Epsilon Ransomware и Epsilon encryptor. На файле написано: B221.exe, G-654 или что-то еще. 
---
Обнаружения:
DrWeb -> Trojan.EncoderNET.HiddenTear.1
BitDefender -> Generic.Ransom.Small.E850116C
Avira (no cloud) -> HEUR/AGEN.1129970
ESET-NOD32 -> A Variant Of MSIL/Filecoder.AK
Malwarebytes -> Ransom.Crimson
Microsoft -> Trojan:Win32/Ymacco.AA44 
Symantec -> Ransom.HiddenTear!g1
TrendMicro -> TROJ_GEN.R002C0OAF21

---

© Генеалогия: BooM ⇒ EpsilonCrypt (на основе HiddenTear)

Знак "⇒" означает переход на другую разработку. См. Генеалогия. 

Изображение — логотип статьи

К зашифрованным файлам добавляется составное расширение: .[neftet@tutanota.com].boom

Сриншот, на котором видна записка и зашифрованные файлы

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на начало января 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: READ_ME.hta

Скриншот записки, открытой без использования Sandbox (уменьшенный шрифт)

Скриншот записки, открытой в Sandbox (1-я часть)

Скриншот записки, открытой в Sandbox (2-я часть)

Содержание записки о выкупе: 

E P S I L O N

Ransomware 

As you can see, all your files got encrypted. Thats why your files are no longer readable.

If you want them back, please contact us at our email below.

You can send us a couple of files and we will return the restored ones to prove that only we can do it.

EpsilonCrypt@tutanota.com

You can get more information about encryption on Wikipedia. (RSA, AES, RC4)

--------------------------------------------------------------------------------

Please, provide your id below in the subject of your mail.

ID-QE54S-FEQ6E-Q654F-654TY-3215G-TZ320-XXXXX-XXXXX-XXXXX

If you have already submited your payement, you will receive your private key and another decryption key with the special decryption software

--------------------------------------------------------------------------------

More informations:

1. The infection was due to vulnerabilities in your software.

2. Our goal is to return your data, but if you don't contact us, we will not succeed.

IMPORTANT:

1. If you want to make sure that it is impossible to recover files using third-party software, do this not on all files, otherwise you may lose all data.

2. Only communication through our email can guarantee file recover for you. We are not responsible for the actions of third parties who promise to help you - most often they are scammers.

3. Please, do not try to rename encrypted files.

---

Красным цветом выделены слова с ошибками. 

Перевод записки на русский язык: 

E P S I L O N

Ransomware

Как видите, все ваши файлы зашифрованы. Поэтому ваши файлы не читаются.

Если вы хотите их вернуть, свяжитесь с нами по email ниже.

Вы можете прислать нам пару файлов и мы вернем восстановленные, чтобы доказать, что только мы можем это сделать.

EpsilonCrypt@tutanota.com

Вы можете получить больше информации о шифровании в Википедии. (RSA, AES, RC4)

-------------------------------------------------- ------------------------------

Пожалуйста, укажите свой id ниже в теме письма.

ID-QE54S-FEQ6E-Q654F-654TY-3215G-TZ320-XXXXX-XXXXX-XXXXX

Если вы уже заплатили, вы получите свой закрытый ключ и еще один ключ дешифрования с помощью специальной программы для дешифрования.

-------------------------------------------------- ------------------------------

Дополнительная информация:

1. Заражение произошло из-за уязвимостей в вашем ПО.

2. Наша цель - вернуть ваши данные, но если вы не напишите нам, у нас ничего не получится.

ВАЖНО:

1. Если вы хотите убедиться, что невозможно восстановить файлы с помощью сторонних программ, делайте это не для всех файлов, иначе вы можете потерять все данные.

2. Только общение по email может гарантировать вам восстановление файла. Мы не несем ответственности за действия третьих лиц, которые обещают вам помочь - чаще всего это мошенники.

3. Пожалуйста, не переименовывайте зашифрованные файлы.

Другим информатором жертвы выступает изображение, заменяющее обои рабочего стола. Красный текст на тёмном фоне указывает на файл основной записки READ_ME.hta. 

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ UAC не обходит, требуется рарешение на запуск. 

➤ ID жертвы жестко запрограммирован в записке о выкупе, которая загружается из Discord CDN. 

Список файловых расширений, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
READ_ME.hta - название файла с требованием выкупа
65QEF.bmp - файл изображения, заменяющий обои рабочего стола

B221.pdb - название оригинального проекта

B221.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

E:\@56\B221\B221\B221\obj\Debug\B221.pdb

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL-адрес для загрузки записки: hxxxs://cdn.discordapp.com/attachments/599226424695455755/798932401216552974/B221.pdb

Email: EpsilonCrypt@tutanota.com
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >> VT> VT> VT>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>  AR> AR> AR>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>


Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

BooM Ransomware - январь 2019

Epsilon Ransomware - январь 2021

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + myMessage + Message + Message
 ID Ransomware (ID as Epsilon, Crimson)
 Write-up, Topic of Support
 * 

 Thanks: 
 GrujaRS, Petrovic
 Andrew Ivanov (article author)
 Michael Gillespie
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.