DECAF

DECAF Ransomware

Winner Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128 (режим CBC) и случайно сгенерированного ключа шифрования, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: в записке не указано. На файле написано: нет данных. Написан на языке Go. 
---
Обнаружения:
DrWeb -> DrWebTrojan.Encoder.34460, DrWebTrojan.Encoder.34471

Avast -> Win64:Malware-gen
BitDefender -> Trojan.GenericKD.46961514, Gen:Variant.Bulz.882140
ESET-NOD32 -> WinGo/Filecoder.AP, A Variant Of WinGo/Filecoder.AQ
Kaspersky -> Trojan-Ransom.Win32.Encoder.nrv, Trojan.Win64.Agentb.awh
Malwarebytes -> Ransom.Decaf, Malware.AI.2201451678
Microsoft -> Ransom:Win64/Deecaf.A!dha
Rising -> Ransom.Encoder!8.FFD4 (KTSE), Ransom.Agent!8.6B7 (KTSE)
Symantec -> Trojan Horse
Tencent -> Win32.Trojan.Falsesign.Pdwb
TrendMicro -> Ransom.Win64.DECAF.THBAABA
---

© Генеалогия: ??? >> DECAF

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была в первой и второй половине сентября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .decaf

Записка с требованием выкупа называется: README.txt

Содержание записки о выкупе:

WINNER WINNER CHICKEN DINNER

What happend?

##############################################

All your servers and computers are encrypted, backups are deleted. We use strong encryption algorithms, so you cannot decrypt your data.

But you can restore everything by purchasing a special program from us - universal decryptor. This program will restore all your network.

Follow our instructions below and you will recover all your data.

What guarantees?

##############################################

We value our reputation. If we do not do our work and liabilities, nobody will pay us. This is not in our interests.

All our decryption software is perfectly tested and will decrypt your data. We will also provide support in case of problems.

We guarantee to decrypt one image file for free. The file size should be no more than 2 MB. Contact us by email:

22eb687475f2c5ca30b@protonmail.com

!!! DANGER !!!

DO NOT MODIFY or try to RECOVER any files yourself. We WILL NOT be able to RESTORE them.

!!! DANGER !!!

Перевод записки на русский язык:

WINNER WINNER CHICKEN DINNER

Что случилось?

###############################################

Все ваши серверы и компьютеры зашифрованы, резервные копии удалены. Мы используем надежные алгоритмы шифрования, поэтому вы не сможете расшифровать свои данные.

Но вы можете все восстановить, купив у нас специальную программу - универсальный расшифровщик. Эта программа восстановит всю вашу сеть.

Следуйте нашим инструкциям ниже, и вы восстановите все свои данные.

Какие гарантии?

###############################################

Мы дорожим своей репутацией. Если мы не будем выполнять свою работу и обязательства, нам никто не заплатит. Это не в наших интересах.

Все наше программное обеспечение для расшифровки отлично протестировано и расшифрует ваши данные. Мы также окажем поддержку в случае возникновения проблем.

Мы гарантируем расшифровку одного файла изображения бесплатно. Размер файла должен быть не более 2 МБ. Свяжитесь с нами по email:

22eb687475f2c5ca30b@protonmail.com

!!! ОПАСНОСТЬ !!!

НЕ ИЗМЕНЯЙТЕ и не пытайтесь ВОССТАНОВИТЬ какие-либо файлы сами. Мы НЕ СМОЖЕМ ВОССТАНОВИТЬ их.

!!! ОПАСНОСТЬ !!!

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
README.txt - название файла с требованием выкупа;
50iwceqky.dll, gonhjjglh.dll, installOLD.exe - названия вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: 22eb687475f2c5ca30b@protonmail.com
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 46a1325bb01e37e0ee2d2ba37db257f2

SHA-1: fde5f666007cdb1fd1dddd2fefbed916992e9e65

SHA-256: 98272cada9caf84c31d70fdc3705e95ef73cb4a5c507e2cf3caee1893a7a6f63

Vhash: 07503e0f7d1bz4!z

Imphash: 6ed4f5f04d62b18d96b26d6db7c18840

---

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: 298b9c281bab03460621171d76476850

SHA-1: 7c4027418a000c68372b251a2fc152b10acf502f

SHA-256: 5da2a2ebe9959e6ac21683a8950055309eb34544962c02ed564e0deaf83c9477

Vhash: 036066655d5d15041az28!z

Imphash: c7269d59926fa4252270f407e4dab043

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + Message
 Write-up, Topic of Support
 Added later: Write-up

 Thanks: 
 ***
 Andrew Ivanov (article author)
 0xhido, Intezer
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.