Epsilon Red

Epsilon Red Ransomware 

EpsilonRed PowerShellScript Ransomware 

EpsilonRed PSS-Ransomware 

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные в атакованной корпоративной сети с помощью AES+RSA, а затем требует выкуп в несколько BTC, чтобы вернуть файлы. Оригинальное название: Epsilon Red. На файле написано: Red.exe. Написан на языке Go. Включает в себя набор уникальных PowerShell-скриптов, подготавливающих ПК к шифрованию файлов.
---
Обнаружения:
DrWeb ->
ALYac ->
Avira (no cloud) ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---

© Генеалогия: заимствования из других проектов >> Epsilon Red

Изображение — логотип статьи

К зашифрованным файлам добавляется расширение: .epsilonred


Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 


Активность этого крипто-вымогателя была в середине - конце мая 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру.

Записка с требованием выкупа называется: ***нет данных***

Содержание записки о выкупе:

[+] What's Happened? [+]

Your files have been encrypted and currently unavailable. You can check it. All files in your system have "EpsilonRed" extension. By the way, everything is possible to recover (restore) but you should follow our instructions. Otherwise you can NEVER return your data.

[+] What are our guarantees? [+]

It's just a business and we care only about getting benefits. If we don't meet our obligations, nobody will deal with us. It doesn't hold our interest. So you can check the ability to restore your files. For this purpose you should come to talk to us we can decrypt one of your files for free. That is our guarantee.

It doesn't metter for us whether you cooperate with us or not. But if you don't, you'll lose your time and data cause only we have the private key to decrypt your files, time is much more valuable than money.

[+] Data Leak [+]

We uploaded your data and if you dont contact with us then we will publish your data.

Example of data:

- Accounting data

- Executive data

- Sales data

- Customer support data

- Marketing data

- And more other ...

[+] How to Contact? [+]

You have two options :

1. Chat with me :

-Visit our website: http://epsilons.red/***

-When you visit our website, put the following KEY into the input form.

-Then start talk to me.

2. Email me at : ***@protonmail.com

Перевод записки на русский язык:

[+] Что случилось? [+]

Ваши файлы зашифрованы и теперь недоступны. Вы можете это проверить. Все файлы в вашей системе имеют расширение "EpsilonRed". Кстати, все можно вернуть (восстановить), но вы должны следовать нашим инструкциям. В противном случае вы НИКОГДА не сможете вернуть свои данные.

[+] Какие у нас гарантии? [+]

Это просто бизнес и мы заботимся только о выгоде. Если мы не будем выполнять обязательства, с нами никто не будет иметь дело. Это нам неинтересно. Таким образом, вы можете проверить возможность восстановления ваших файлов. Для этого вам следует поговорить с нами, мы бесплатно расшифруем один из ваших файлов. Это наша гарантия.

Нам не важно, сотрудничаете вы с нами или нет. Но если вы этого не сделаете, вы потеряете свое время и данные, потому что только у нас есть закрытый ключ для расшифровки ваших файлов, время гораздо дороже денег.

[+] Утечка данных [+]

Мы загрузили ваши данные и если вы не свяжетесь с нами, мы их опубликуем.

Пример данных:

- Данные бухгалтерского учета

- Исполнительные данные

- Данные о продажах

- Данные поддержки клиентов

- Маркетинговые данные

- И многое другое ...

[+] Как связаться? [+]

У вас есть два варианта:

1. Пообщайтесь со мной:

-Посетите наш сайт: http://epsilons.red/***

-При посещении нашего сайта введите следующий КЛЮЧ в форму ввода.

-Тогда начнете со мной разговаривать.

2. Напишите мне на адрес: ***@protonmail.com

Содержание записки вероятно заимствовано из записки Sodinokibi (REvil) Ransomware.

Технические детали

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Начальной точкой проникновения злоумышленников в корпоративную сеть являются непропатченные серверы Microsoft Exchange. Далее, используя возможности WMI (Windows Management Instrumentation), злоумышленники получают доступ  к другим машинам корпоративной сети и возможность установки на них другого вредонсоного ПО. 

Список типов файлов, подвергающихся шифрованию:
Списка нет. Шифруются все найденные файлы внутри папок, включая другие исполняемые файлы и DLL, что может сделать программы или всю систему неработоспособными. 

Файлы, связанные с этим Ransomware:

<ransom_note>.txt - название файла с требованием выкупа;

1.ps1 - 12.ps1, C.ps1. S.ps1, RED.ps1 - PowerShell-сценарии, используемые зломышленниками во время атаки и шифрования; 

P.exe - файл, приостаналивающий некоторые процессы, которые могут помешать шифрованию файлов (вероятно модифицированная версия инструмента EventCleaner); 

RED.ps1 - скрипт, выполняющий выполняет 12 из 14 скриптов PowerShell, добавляя их в Планировщик заданий; 

Red.exe - программа-вымогатель (исполняемый файл 64-битной Windows, написанный на языке Go, скомпилированный с помощью инструмента MinGW и упакованный модифицированной версией упаковщика UPX; 

rutserv.exe - файл установщика, созданный с помощью Remote Utilities, который зломышленники загружают на несколько компьютеров в сети цели, чтобы потом запустить на выполнение.

Описание действий некоторых вышеназванных файлов:

Сценарий red.ps1 распаковывает архив RED.7z в директорию %SYSTEM%\RED, а затем создает запланированные задачи, которые запускают распакованные сценарии. Затем он ждет один час и выполняет команды, которые изменяют правила брандмауэра Windows таким образом, чтобы брандмауэр блокировал входящие соединения на всех TCP-портах, кроме 3389/tcp протокола удаленного рабочего стола и коммуникационного порта 5650/tcp, используемого коммерческим инструментом Remote Utilities. Как ни странно, он сначала блокирует входящий трафик на порты 80 и 443, а затем избыточно блокирует все большие диапазоны портов, которые включают 80 и 443, но также исключают порты RDP и Remote Utilities: 1-3388, 3390-5649, and 5651-65352. 

1.ps1 ищет процессы, содержащие любую из следующих строк в имени, и пытается их прервать: sql, Sql, SQL, BASup, Titan, SBAM, sbam, vipre, Vipre, Cylance, cylance, Senti, senti, sql, backup, veeam, outlook, word, excel, office, ocomm, dbsnmp, onenote, firefox, xfssvccon, infopath, wordpa, isqlplussvc, sql, dbeng50, mspub, mydesktopqos, ocautoupds, thunderbird, encsvc, oracle, mydesktopservice, thebat, agntsvc, steam, ocssd, tbirdconfig, synctime, visio, sqbcoreservice, winword, msaccess, powerpnt, mepocs, memtas, svc$, vss, sophos, crm, quickbooks, pos, qb, sage, SQL, prc, w3wp, java, store, ax32, dbs, wordpad, VeeamAgent, Backup, Cloud, Mbae, MB3, WRSA, rsa, wrsa

2.ps1 удаляет все тома теневых копии системы, выполняя только одну команду vssadmin.exe delete shadows /all /quiet 

3.ps1 отключает автоматическое восстановление, которое Windows может попытаться запустить после перезагрузки; 

4.ps1 пытается удалить теневые копии другим способом: 

wmic shadowcopy delete /nointeractive

Get-WmiObject Win32_ShadowCopy | % { $_.Delete() }

Get-WmiObject Win32_ShadowCopy | Remove-WmiObject

Get-WmiObject Win32_Shadowcopy | ForEach-Object { $_Delete(); }

Get-CimInstance Win32_ShadowCopy | Remove-CimInstance 

5.ps1 выполняет две команды, которые удаляют журналы событий Windows Windows Event Logs), что затрудняет расследование инцидентов; 

6.ps1 пытается завершить службы, на основе следующего списка строк, которые могут появиться в именах этих служб:  

sql, Sql, SQL, BASup, Titan, Cylance, cylance, Defend, NisSvc, Veeam, veeam, backup, Backup, rsa, wrsa, WRSA, RSA

Кроме того, он отключает Защитник Windows, изменив следующий ключ в реестре Windows:  

reg add “HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender” /f /v DisableAntiSpyware /t REG_DWORD /d

7.ps1 отключает практически все открытые сеансы на компьютере; 

8.ps1 - дублирует сценарий для правил брандмауэра, включенного в red.ps1;

9.ps1 запускается первым и пытается вызвать деинсталлятор для защитного программного обеспечения от Sophos, Trend Micro, Cylance, MalwareBytes, Sentinel One, Vipre, Webroot и нескольких агентов облачного резервного копирования; 

10.ps1 повторно запускает удаленный исполняемый файл P.exe, который приостанавливает процессы, содержащие следующие строки, и очищает их журналы: 

MpCmd, MsMp, Senti, senti, sql, backup, veeam, outlook, word, excel, office, ocomm, dbsnmp, onenote, firefox, xfssvccon, infopath, wordpa, isqlplussvc, sql, dbeng50, mspub, mydesktopqos, ocautoupds, thunderbird, encsvc, oracle, mydesktopservice, thebat, agntsvc, steam, ocssd, tbirdconfig, synctime, visio, sqbcoreservice, winword, msaccess, powerpnt, mepocs, memtas, svc$, vss, sophos, crm, quickbooks, pos, qb, sage, SQL, prc, w3wp, java, store, ax32, dbs, wordpad, VeeamAgent, Backup, Cloud, Mbae, MB3

11.ps1 выполняет следующие команды для удаления теневых копий (в третий раз!), изменения параметров восстановления и очищения журналов:  

vssadmin.exe Delete Shadows /All /Quiet

bcdedit /set {default} recoveryenabled no

wmic shadowcopy delete

wbadmin delete backup

wbadmin delete systemstatebackup -keepversions:0

bcdedit /set {default} bootstatuspolicy ignoreallfailures

bcdedit /set {default} recoveryenabled no

wevtutil.exe clear-log Application

wevtutil.exe clear-log Security

wevtutil.exe clear-log System

wbadmin delete systemstatebackup

wbadmin delete catalog -quiet

bootstatuspolicy ignoreallfailures

12.ps1 предоставляет группе "Все" права доступа к каждой букве диска, которая может быть на компьютере, чтобы зашифровать наибольшее количество файлов. 

По результатам исследования Andrew Brandt (Sophos), вымогатели использовали возможности инструментов из свободного доступа: PowerShell,  Copy-VSS,  Remote Utilities, EventCleaner

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
URL: xxxx://epsilons.red

Email: - 
BTC: - 
См. ниже в обновлениях другие адреса и контакты.
См. ниже результаты анализов.

Результаты анализов:

IOC: VT, HA, IA, TG, AR, VMR, JSB

sha256 57EE78299598170C766FF73CEFCA9E78B9B81AC6999E8ADB61903BC89BE313BA - red.ps1

sha256 7259975D7E3B3D9D059A38F4393AB920764B46CA243E192E08F7699999382E07 - RED.7z archive (contains all subsequent files)

sha256 172BBF46E5F46DD7A9EA0C22054B644F60EFC3A9AD26A6F0E95CA57E38AF60A7 - 1.ps1 file

sha256 9845619CB9C3612055A934C4270568391832EAB40A66DBB22B1B37FA05559C92 - 2.ps1 file

sha256 5120998FA1482D4D0D0099D91AAB2AF647C0272819D7DCF792EEC01C77AB9391 - 3.ps1 file

sha256 4D6272AEADF7FC131AC126DC07D7BFD2E878D359E5E7BB5376A67295CE05FC15 - 4.ps1 file

sha256 0794C8630F40F04C0E7CEA40F11DC3F1A829A3BE69852FE9E184AA8B7ED20797 - 5.ps1 file

sha256 7A8128F8788524E54A69619B69870DFD4C50DB46E3EB786899F7275DAB73D2D9 - 6.ps1 file

sha256 4EAF5E93953756BC2196BFCFB030B6EAAD687FA1E8DB9F47B09819F3B4315230 - 7.ps1 file

sha256 8C294F1EF05DF823460BD11CE34EA7860178DE6BC3D9B0127A3B9C08CF62437F - 8.ps1 file

sha256 A9A6D35469E471666758ED5D1174EDC5B650C0ACB2C351213EADFB408F74BDCB - 9.ps1 file

sha256 039DA6B099303FDFD087BB7DF94012780DFE375C67234CE495C78CF2DCF7FD9D - 10.ps1 file

sha256 699FFB898864BF804CF726F39B5E8168D55E44FC1584B71BA25E31B43AE543E8 - 11.ps1 file

sha256 EE10F3A798AAA03F4CED2DDB28D2B36FE415EA2CBBD9C3B97B2A230A72D77F5C - 12.ps1 file

sha256 C1F963ABA616680E611601E446955E9552C69DB23DABAB8444718D82AD830029 - C.ps1 file

sha256 5AA7DE7EAB570522C93D337D395396057033AD6596DB4A0BDA15D77A6D4C6C3A - S.ps1 file

sha256 84755B2177B72364918F18C62A23854E7A8A66C4F5005CC040357850ADF9D811 - P.exe

sha256 ce5ba1e5d70d95d52b89a1b8278ff8dd4d1e25c38c90ca202b43bdc014795d78 - rutserv.exe (Remote Utilities installer)

sha256 35ffc1263005fd0a954deed20a7fb0cd53dbab6bb17ff8bd34559a5a124686c7 - rutserv.exe (Remote Utilities installer)

Степень распространённости: низкая.
Подробные сведения собираются регулярно. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 ID Ransomware (ID as EpsilonRed)
 Write-up, Topic of Support
 * 

 Thanks: 
 Andrew Brandt (Sophos)
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.