Qlocker

Qlocker Ransomware

QNAP 7z-locker Ransomware

(7zip-шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель делает вид, что шифрует данные на QNAP NAS устройствах пользователей, а затем требует выкуп в 0.01 BTC (~$500) за пароль, чтобы вернуть файлы. На самом деле файлы помещаются в 7z-архив с паролем, известным только вымогателям. Оригинальное название: Qlocker (написано на сайте вымогателей в сети Tor). На файле написано: нет данных.

Файлы можно восстановить, если есть желание. 

Руководство по восстановлению >>

---
Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro -> 
---

© Генеалогия: QNAP Ransomware + 7-Zip архиватор >> Qlocker

Изображение — логотип статьи

Файлы заблокированы в архивах с расширениями .7z
Это обычное расширение для архиватора 7-Zip. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину - вторую половину апреля 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших пользователи из США, Канады, Франции, Италии, Германии, Польши, Израиля и других стран. 

Записка с требованием выкупа называется: !!!READ_ME.txt

Содержание записки о выкупе:

!!! All your files have been encrypted !!!

All your files were encrypted using a private and unique key generated for the computer. This key is stored in our server and the only way to receive your key and decrypt your files is making a Bitcoin payment.

To purchase your key and decrypt your files, please follow these steps:

1. Dowload the Tor Browser at "https://www.torproject.org/". If you need help, please Google for "access onion page".

2. Visit the following pages with the Tor Browser:

gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion

3. Enter your Client Key:

KU1o8mGG4p8moefySdZSI85HX6*** [всего 344 знака]

Перевод записки на русский язык:

!!! Все ваши файлы зашифрованы !!!

Все ваши файлы зашифрованы с использованием приватного и уникального ключа, созданного для компьютера. Этот ключ хранится на нашем сервере, и только один способ получить ваш ключ и расшифровать файлы - это биткойн-оплата.

Чтобы приобрести ключ и расшифровать файлы, выполните следующие действия:

1. Загрузите браузер Tor с https://www.torproject.org/. Если вам нужна помощь, пожалуйста, Google для "доступа к луковой странице".

2. Посетите следующие страницы с Tor-браузером:

 gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion

3. Введите свой клиентский ключ:

KU1o8mGG4p8moefySdZSI85HX6 *** [всего 344 знака]

---

Скриншоты с Tor-сайта вымогателей

 

Содержание текста на сайте:

Qlocker

You have to send 0.01 BTC to below address and specify the transaction ID in the field below, which will be verifyed and confirmed.

Once we receive your payment, you'll get a password to decrypt your data.

Send 0.01 BTC to this address

Transaction ID (txid)

Txid must be length 64, it looks like 21aaaf3cfefe7171b8f5835838067b0ab6947aef263a6f812bf0112e4efefe6f

Waiting for payment.

Перевод текста на русский язык:

Qlocker

Вам надо отправить 0.01 BTC на адрес ниже и указать ID транзакции в поле ниже, который будет проверен и подтвержден.

Как мы получим ваш платеж, вы получите пароль для расшифровки данных.

Отправьте 0.01 BTC на этот адрес

ID транзакции (txid)

Txid должен быть длиной 64, это как 21aaaf3cfefe7171b8f5835838067b0ab6947aef263a6f812bf0112e4efefe6f

Ожидается платеж.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список файловых расширений, подвергающихся шифрованию:
Это могут быть популярные форматы файлов: документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр. 

Файлы, связанные с этим Ransomware:
!!!READ_ME.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: hxxx://gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion

Email: - 
BTC: 34vbPQLgGZwKG2FikitGU6QR7K25aB6Shh

37m57HiP5rPceopgEWF9sM58CkzaDFYtaU

3Ekwztte7oWR1odC1eKeL2Va4cpBuGXPgU

3EPBKN3bcax81U3MdKYUhMC1fzFEFGPC6E

3EvCKQ38y8ePUwM4w49XWVtAK7KhYbmeMH

3FvLioiqF2TrQgZ9zRMdd7QUfc2hTjKZfL

3FXVLv8TmcHNmnfwLfc5g7f2a32xp3XugW

3G6fbWX6At9uRzKf6kwS6R6pn5EQ8UsxKY

3GfAJxhUen3oqb4sDDnPmXyhs5mDboHbyG

3JRdPjB8U3nfDqQHzTqw9yYra49Gsd8Rar

3KmK5z4CAvn3aL4Q8F2gWbhuPRy9ZmEurN

3Kywg92E877KUWmyaeeLNSXFc5bqBvFbAm

3LLzycFNFh7mDsqRhfknfGBa6TKq6HcfwS

3Lp1NkJHYsmFRBfM3ggoWsS1PF5hXxrwrD

3PDfzkTnD1E7gB7peZ2prRyDxjQ1BhqcV1

3PunvFGpVWLX7PNAoT3bMDbPQU2QQW4kxN

3Q8WmjQyFs1EKCdu415t2P9cxY7AbqorPd

3EWRngsRDhCxMHtKxeK6k9kX3pyWZSA2YB

3Gwz3yVmrGr5AqmUrAS8H2QQaPz2v9Rhpx

3JtUAz4aKUrjcBK47ocdv52tTJkriat1nx

3NtgDQCu7xck4UEpyTf8HNSSvrMCnKZRjt

3DhE1iZ5Ui6HALVKuuYXW52ArZPVJjUgJA

См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>


Степень распространённости: высокая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ALTERNATIVE DECRYPTOR ===

Скриншот альтернативного дешифровщика. 

Работает с паролем, полученным от вымогателей после уплаты выкупа. 

Сообщение разработчика >>

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Сообщение от 19 мая 2021: 

Вымогатели Qlocker, заработав более 350 тысяч долларов, решили закрыть свой сайт и остановить вымогательство. 

Статья на сайте BleepingComputer об этом событии >>

Вместо того, чтобы требовать миллионы долларов на восстановление файлов, Qlocker-вымогатели изначально оценили сумму выкупа всего в $500, что привело к тому, что многие компании заплатили выкуп за восстановление своих файлов. 

Поскольку в Qlocker Ransomware использовался фиксированный набор биткойн-адресов, на которые жертвами перечислялись суммы выкупа, можно отследить, сколько биткойнов они получили в качестве выкупа.

На 22 биткойн-адреса Qlocker, известных BleepingComputer, жертвы заплатили в общей сложности 8.93258497 BTC. Сегодня это стоит 353708 долларов, но до краха биткойнов на этой неделе те же самые биткойны стоили почти 450000 долларов.

Если разделить все биткоины, полученные вымогателями по 0.01 BTC с каждого, то получится около 893 пострадавших пользователей, которые заплатили выкуп. Их могло бы быть больше, если бы Qlocker использовал другие биткойн-адреса. 

=== 2022 ===

Вариант от 6 января 2022: 

Статья на сайте BleepingComputer >>

Записка: !!!READ_ME.txt

Tor-URL: gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 ID Ransomware (ID as Qlocker)
 Write-up, Topic of Support
 Added later: Write-up, Write-up

Файлы можно восстановить, если есть желание. 
Руководство по восстановлению в теме >>
Руководство по восстановлению на сайте разработчика >>
Отдельная тема на форуме >>

 Thanks: 
 Michael Gillespie, Lawrence Abrams
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.