AvGhost

AvGhost Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: AvGhost. На файле написано: нет данных.
---
Обнаружения:
DrWeb ->
BitDefender ->
ESET-NOD32 ->
Kaspersky ->
Malwarebytes ->
Microsoft ->
Rising ->
Symantec ->
Tencent ->
TrendMicro ->
---

© Генеалогия: ??? >> AvGhost

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Активность этого крипто-вымогателя была во второй половине ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .AvGhost

Записка с требованием выкупа называется: AvGhost.txt

Содержание записки о выкупе:

What's wrong with my computer?

Some of your important files have been encrypted and saved by me.

Photos, pictures, documents, compressed packages, audio, video, database files, etc., almost all types of files are encrypted, so they cannot be opened normally.

This is fundamentally different from normal file damage. You cannot find a way to recover files on the Internet. I assure you that without our decryption service, these files cannot be recovered even if God comes. 

Is there a way to recover these files?

Of course, there are recoverable methods, which can only be recovered through our decryption service. I guarantee by my personality that provide-safe and effective recovery services. 

But this is chargeable and cannot be postponed indefinitely.

Please click the <Decryption Test> button to recover some files for free. Please rest assured that I will never lie to you.

But if you want to restore all the files, you need to pay a fee.

Is it possible to pay a fixed amount at any time and it will be restored?

Of course not, the longer the delay in payment, the higher the price will be, which is obviously unfavorable to you.

It is best to pay within 3 days, and the cost will continue to increase after three days!

Also, if you don't pay within a week, you will never be able to recover your files.

Email: avghost@oteteam.com

Send $500 worth of Bitcoin to this address:

3EAcaNzUgLsTmPB8TavZXQdDZxkhKB9De3

Перевод записки на русский язык:

Что не так с моим компьютером?

Некоторые из ваших важных файлов зашифрованы и сохранены мной.

Фото, изображения, документы, сжатые пакеты, аудио, видео, файлы баз данных и т.д., почти все типы файлов зашифрованы, поэтому их нельзя открыть в обычном режиме. 

Это принципиально отличается от обычного повреждения файлов. Вы не сможете найти способ восстановить файлы в Интернете. Уверяю вас, что без нашей службы дешифрования эти файлы не могут быть восстановлены, даже если Бог придет.

Есть ли способ вернуть эти файлы?

Конечно, существуют методы восстановления, которые можно восстановить только с помощью нашей службы дешифрования. Своей личностью я гарантирую, что предоставлю безопасные и эффективные услуги по восстановлению.

Но это платно и нельзя откладывать на неопределенный срок.

Нажмите кнопку <Decryption Test>, чтобы бесплатно восстановить некоторые файлы. Будьте уверены, я никогда не буду вам лгать.

Но если вы хотите восстановить все файлы, вам нужно будет заплатить комиссию.

Можно ли в любой момент заплатить фиксированную сумму, и это будет восстановлено?

Конечно, нет, чем дольше просрочка платежа, тем выше будет цена, что для вас невыгодно.

Лучше всего платить в течение 3 дней, а через три дня стоимость будет продолжать расти!

Кроме того, если вы не заплатите в течение недели, вы никогда не сможете восстановить свои файлы.

Email: avghost@oteteam.com

Отправьте $500 в биткойнах на этот адрес:

3EAcaNzUgLsTmPB8TavZXQdDZxkhKB9De3

Записка с требованием выкупа также написана на экране блокировки с таймером и датой: 

Текст, вероятно, дублируется из текстовой записки. 

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
AvGhost.txt - название файла с требованием выкупа;
<random>.exe - случайное название вредоносного файла

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:
См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: avghost@oteteam.com
BTC: 3EAcaNzUgLsTmPB8TavZXQdDZxkhKB9De3

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: - 

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Ещё не было обновлений этого варианта.

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + myMessage + Message
 Write-up, Topic of Support
 * 

 Thanks: 
 xiaopao, 
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.