вторник, 20 апреля 2021 г.

Qlocker

Qlocker Ransomware

QNAP 7z-locker Ransomware

(7zip-шифровальщик-вымогатель) (первоисточник)
Translation into English


Этот крипто-вымогатель делает вид, что шифрует данные на QNAP NAS устройствах пользователей, а затем требует выкуп в 0.01 BTC (~$500) за пароль, чтобы вернуть файлы. На самом деле файлы помещаются в 7z-архив с паролем, известным только вымогателям. Оригинальное название: Qlocker (написано на сайте вымогателей в сети Tor). На файле написано: нет данных.
Файлы можно восстановить, если есть желание. Руководство по восстановлению >>
---
Обнаружения:
DrWeb ->
BitDefender ->
ALYac ->
Avira (no cloud) ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro -> 

---

© Генеалогия: QNAP Ransomware
7-Zip архиватор >> Qlocker

Изображение — логотип статьи

Файлы заблокированы в архивах с расширениями .7z
Это обычное расширение для архиватора 7-Zip

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя пришлась на середину - вторую половину апреля 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. Среди пострадавших пользователи из США, Канады, Франции, Италии, Германии, Польши, Израиля и других стран. 

Записка с требованием выкупа называется: !!!READ_ME.txt


Содержание записки о выкупе:
!!! All your files have been encrypted !!!
All your files were encrypted using a private and unique key generated for the computer. This key is stored in our server and the only way to receive your key and decrypt your files is making a Bitcoin payment.
To purchase your key and decrypt your files, please follow these steps:
1. Dowload the Tor Browser at "https://www.torproject.org/". If you need help, please Google for "access onion page".
2. Visit the following pages with the Tor Browser:
gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion
3. Enter your Client Key:
KU1o8mGG4p8moefySdZSI85HX6*** [всего 344 знака]

Перевод записки на русский язык:
!!! Все ваши файлы зашифрованы !!!
Все ваши файлы зашифрованы с использованием приватного и уникального ключа, созданного для компьютера. Этот ключ хранится на нашем сервере, и только один способ получить ваш ключ и расшифровать файлы - это биткойн-оплата.
Чтобы приобрести ключ и расшифровать файлы, выполните следующие действия:
1. Загрузите браузер Tor с https://www.torproject.org/. Если вам нужна помощь, пожалуйста, Google для "доступа к луковой странице".
2. Посетите следующие страницы с Tor-браузером:
 gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion
3. Введите свой клиентский ключ:
KU1o8mGG4p8moefySdZSI85HX6 *** [всего 344 знака]
---

Скриншоты с Tor-сайта вымогателей
 

Содержание текста на сайте:
Qlocker
You have to send 0.01 BTC to below address and specify the transaction ID in the field below, which will be verifyed and confirmed.
Once we receive your payment, you'll get a password to decrypt your data.
Send 0.01 BTC to this address
Transaction ID (txid)
Txid must be length 64, it looks like 21aaaf3cfefe7171b8f5835838067b0ab6947aef263a6f812bf0112e4efefe6f
Waiting for payment.

Перевод текста на русский язык:
Qlocker
Вам надо отправить 0.01 BTC на адрес ниже и указать ID транзакции в поле ниже, который будет проверен и подтвержден.
Как мы получим ваш платеж, вы получите пароль для расшифровки данных.
Отправьте 0.01 BTC на этот адрес
ID транзакции (txid)
Txid должен быть длиной 64, это как 21aaaf3cfefe7171b8f5835838067b0ab6947aef263a6f812bf0112e4efefe6f
Ожидается платеж.



Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1


Список файловых расширений, подвергающихся шифрованию:
Это могут быть популярные форматы файлов: документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр. 

Файлы, связанные с этим Ransomware:
!!!READ_ME.txt - название файла с требованием выкупа
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Tor-URL: 
gvka2m4qt5fod2fltkjmdk4gxh5oxemhpgmnmtjptms6fkgfzdd62tad.onion
Email: - 
BTC: 
34vbPQLgGZwKG2FikitGU6QR7K25aB6Shh
37m57HiP5rPceopgEWF9sM58CkzaDFYtaU
3Ekwztte7oWR1odC1eKeL2Va4cpBuGXPgU
3EPBKN3bcax81U3MdKYUhMC1fzFEFGPC6E
3EvCKQ38y8ePUwM4w49XWVtAK7KhYbmeMH
3FvLioiqF2TrQgZ9zRMdd7QUfc2hTjKZfL
3FXVLv8TmcHNmnfwLfc5g7f2a32xp3XugW
3G6fbWX6At9uRzKf6kwS6R6pn5EQ8UsxKY
3GfAJxhUen3oqb4sDDnPmXyhs5mDboHbyG
3JRdPjB8U3nfDqQHzTqw9yYra49Gsd8Rar
3KmK5z4CAvn3aL4Q8F2gWbhuPRy9ZmEurN
3Kywg92E877KUWmyaeeLNSXFc5bqBvFbAm
3LLzycFNFh7mDsqRhfknfGBa6TKq6HcfwS
3Lp1NkJHYsmFRBfM3ggoWsS1PF5hXxrwrD
3PDfzkTnD1E7gB7peZ2prRyDxjQ1BhqcV1
3PunvFGpVWLX7PNAoT3bMDbPQU2QQW4kxN
3Q8WmjQyFs1EKCdu415t2P9cxY7AbqorPd
3EWRngsRDhCxMHtKxeK6k9kX3pyWZSA2YB
3Gwz3yVmrGr5AqmUrAS8H2QQaPz2v9Rhpx
3JtUAz4aKUrjcBK47ocdv52tTJkriat1nx

См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:
🔻 Triage analysis >>
Ⓗ Hybrid analysis >>
𝚺  VirusTotal analysis >>
🐞 Intezer analysis >>
ᕒ  ANY.RUN analysis >>
ⴵ  VMRay analysis >>
Ⓥ VirusBay samples >>
⨇ MalShare samples >>
👽 AlienVault analysis >>
🔃 CAPE Sandbox analysis >>
⟲ JOE Sandbox analysis >>


Степень распространённости: высокая.
Подробные сведения собираются регулярно. Присылайте образцы.



=== ALTERNATIVE DECRYPTOR ===



Скриншот альтернативного дешифровщика. 
Работает с паролем, полученным от вымогателей после уплаты выкупа. 




=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===



=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.



=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===
 Read to links: 
 Message + Message + Message
 ID Ransomware (ID as Qlocker)
 Write-up, Topic of Support
 Added later: Write-up, Write-up
Файлы можно восстановить, если есть желание. 
Отдельная тема на форуме >>
 Thanks: 
 Michael Gillespie, Lawrence Abrams
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.

Комментариев нет:

Отправка комментария

ВНИМАНИЕ!!!
Новые комментарии модерируются. Всё, кроме спама, вскоре будет опубликовано. Чтобы написать комментарий, вы должны иметь аккаунт Google.

УВАГА!!!
Новыя каментары мадэруюцца. Усё, акрамя спаму, неўзабаве будзе апублікавана. Каб напісаць каментар, вы павінны мець аккаунт Google.

УВАГА!!!
Нові коментарі модеруються. Все, крім спаму, незабаром буде опубліковано. Щоб написати коментар, ви повинні мати акаунт Google.

ПАЖЊА!!!
Нови коментари су модерирани. Све, осим спама, ускоро ће бити објављено. Да бисте напишете коментар, морате да имате Google рачун.

НАЗАР АУДАРЫҢЫЗ!!!
Жаңа пікірлер модерацияланған. Жақын арада спамнан басқа, барлығы да жарияланатын болады. Пікір жазу үшін сізге google тіркелгісі болуы керек.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted. To write here a comment, you must have a Google account.

BEACHTUNG!!!
Ihr neuer Kommentar wird moderiert. Wiederhole es bitte nicht. Spam wird gelöscht. Um hier einen Kommentar zu schreiben, benötigen Sie ein Google-Konto.

ATTENTION!!!
Votre nouveau commentaire sera modéré. Ne répétez pas le, s'il vous plaît. Le spam sera supprimé.

¡ATENCIÓN!
Tu nuevo comentario será moderado. No lo repitas, por favor. El spam se eliminará.

ATENÇÃO!!!
Seu novo comentário será moderado. Não repita, por favor. O spam será excluído.

ATTENZIONE!!!
Il tuo nuovo commento verrà moderato. Non ripeterlo, per favore. Lo spam verrà eliminato.

ATENTO!
Via nova komento estos moderata. Ne ripetu ĝin, bonvolu. Spam estos forigita.

DİKKAT !!!
Yorumunuz moderatör tarafından kontrol edilecektir. Tekrar etmeyin lütfen. Spam silinecek.

इसे पढ़ें !!!
आपकी नई टिप्पणी को नियंत्रित किया जाएगा। कृपया इसे दोहराना न करें। स्पैम हटा दिया जाएगा।

এটা পড়ুন !!!
আপনার নতুন মন্তব্য সংযত করা হবে। এটা পুনরাবৃত্তি করবেন না দয়া করে। স্প্যাম মুছে ফেলা হবে।

انتباه!
سيتم الإشراف على تعليقاتك الجديدة. لا تكررها من فضلك. سيتم حذف الرسائل غير المرغوب فيها.

PERHATIAN!!!
Komentar baru Anda akan dimoderasi. Jangan mengulanginya, tolong. Spam akan dihapus.

Pansin !!!
Ang mga bagong komento ay sinusuri ng moderator. Huwag ulitin ito, mangyaring. Tatanggalin ang spam.

注意!!!
您的新评论将被审核。 请不要重复它。 垃圾邮件将被删除。

これを読んで!
あなたの新しいコメントはモデレートされます。 それを繰り返さないでください。 スパムは削除されます。

주의!!!
새 댓글이 검토 될 것입니다. 그것을 복제하지 마십시오. 스팸이 삭제됩니다.

Подписчики

My tweet feed

My tweet feed
Follow me!

My profile on BC

My profile on BC
Follow me!

Получать письма / Follow by E-mail

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *