CovidLocker

CovidLocker Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью ChaCha и AES + RSA для ключа, а затем требует написать на email вымогателей, чтобы узнать, как заплатить за RSA-ключ и расшифровать файлы. Оригинальное название: в записке не указано. На файле написано: locker.exe.
---
Обнаружения:
DrWeb -> Trojan.MulDrop17.55683
ALYac -> Trojan.Ransom.MedusaLocker
Avira (no cloud) -> TR/Ransom.ocbak
BitDefender -> Trojan.GenericKD.46513684
ESET-NOD32 -> A Variant Of Win32/Filecoder.MedusaLocker.C
Kaspersky -> UDS:DangerousObject.Multi.Generic
Malwarebytes -> Ransom.Medusa
Microsoft -> Ransom:Win32/MedusaLocker.MK!MTB
Symantec -> ML.Attribute.HighConfidence
TrendMicro -> Ransom_MedusaLocker.R002C0DFI21
---

© Генеалогия: ✂ MedusaLocker >> CovidLocker

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в середине июня 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .covid

В процеесе шифрования сначала используется расширение .inprocess, а потом оно меняется на .covid

Пример: 

BOOTNXT.inprocess -> BOOTNXT.covid

Записка с требованием выкупа называется: How_To_Recover.mht

Содержание записки о выкупе:

##################################################

##################################################

DONT WORRY! YOUR FILES ARE SAFE! ONLY MODIFIED :: ChaCha + AES

WE STRONGLY RECOMMEND you NOT to use any Decryption Tools.

These tools can damage your data, making recover IMPOSSIBLE.

Also we recommend you not to contact data recovery companies.

They will just contact us, buy the key and sell it to you at a higher price.

If you want to decrypt your files, you have to get RSA private key.

--

To get RSA private key you have to contact us via email to: undelivered@onet.pl

and send us your id: 2374052***

--

HOW to understand that we are NOT scammers?

You can ask SUPPORT for the TEST-decryption for ONE file!

Перевод записки на русский язык:

##################################################

##################################################

НЕ ВОЛНУЙТЕСЬ! ВАШИ ФАЙЛЫ В БЕЗОПАСНОСТИ! ТОЛЬКО ИЗМЕНЕНЫ :: ChaCha + AES

ОЧЕНЬ РЕКОМЕНДУЕМ НЕ использовать какие-либо инструменты дешифрования.

Эти инструменты могут повредить ваши данные, делая восстановление НЕВОЗМОЖНЫМ.

Также рекомендуем не связываться с компаниями по восстановлению.

Они напишут нам, купят ключ и продадут его вам по высокой цене.

Если вы хотите расшифровать свои файлы, вам нужно получить закрытый RSA-ключ.

-

Чтобы получить закрытый RSA-ключ, вам надо написать нам на email: undelivered@onet.pl

и прислать нам свой id: 2374052***

-

КАК понять, что мы НЕ мошенники?

Вы можете запросить у ПОДДЕРЖКИ ТЕСТ-расшифровку ОДНОГО файла!

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Там могут быть различия с первоначальным вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов. 

➤ Использует упаковщик ASPack v2.12. 

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
How_To_Recover.mht - название файла с требованием выкупа;

KEY.FILE - специальный файл;
locker.exe - название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: undelivered@onet.pl
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 59a11294cc1496126fcd9af1a3371d0b

SHA-1: 68af606a3befec2e42564c9d4015d97c33fbfab9

SHA-256: 2a19c30b45f7d6c70ee5ed2229205587ec7ac00f6c5d3c3b2007989ed45e8a91

Vhash: 02507f7d7d6d1d7f6f0013z13z31z15z15z1bz17z

Imphash: 75954093c7d1f70253ac02c7616c0f9a

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 Petrovic
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.