BlueLocker

BlueLocker Ransomware

BlueCryptor Ransomware

(шифровальщик-вымогатель) (первоисточник)
Translation into English

Этот крипто-вымогатель шифрует данные пользователей с помощью AES+RSA, а затем требует выкуп в # BTC, чтобы вернуть файлы. Оригинальное название: BlueLocker (указано в записке), BlueCryptor (указано в коде). На файле написано: eG5zd3V5Cg.exe. 

---
Обнаружения:
DrWeb -> Trojan.Encoder.34622
BitDefender -> Gen:Heur.Mint.Zard.2
ESET-NOD32 -> A Variant Of Generik.CTNEHZY
Kaspersky -> HEUR:Trojan-Ransom.Win32.Encoder.gen
Malwarebytes -> Ransom.FileCryptor
Microsoft -> Trojan:Win32/Sabsik.FL.B!ml
Rising -> Trojan.Generic@ML.87 (RDMK:OxH*
Symantec -> Downloader
Tencent -> Win32.Trojan.Encoder.Lkxa
TrendMicro -> TROJ_GEN.R002H09KT21
---

© Генеалогия: ??? >> BlueLocker (BlueCryptor)

Сайт "ID Ransomware" это пока не идентифицирует. 

Информация для идентификации

Образец этого крипто-вымогателя был найден в конце ноября 2021 г. Ориентирован на англоязычных пользователей, может распространяться по всему миру. 

К зашифрованным файлам добавляется расширение: .blue

Записка с требованием выкупа называется: restore_file.txt

Содержание записки о выкупе:

------------------------------------------------------------------

----------- [ Hello! ] ------------->

****BY BLUE LOCKER****

What happend?

-------------------------------------------

Your computers and servers are encrypted, backups are deleted from your network and copied. We use strong encryption algorithms, so you cannot decrypt your data.

But you can restore everything by purchasing a special program from us - a universal decoder.

This program will restore your entire network.

Follow our instructions below and you will recover all your data.

If you continue to ignore this for a long time, we will start reporting the hack to mainstream media and posting your data to the dark web.

What guarantees?

-------------------------------------------

We value our reputation, if we do not do our work and liabilities, nobody will pay us. This is not in our interests.

All our decryption software is perfectly tested and will decrypt your data, we will also provide support in case of problems.

We guarantee to decrypt one file for free, email us.

How to contact us?

-------------------------------------------

You can write us to our mailbox : grepmord@protonmail.com

!!! DANGER !!!

DO NOT MODIFY or try to RECOVER any files yourself. We WILL NOT be able to RESTORE them.

!!! DANGER !!

Перевод записки на русский язык:

------------------------------------------------------------------

----------- [ Привет! ] ------------->

****BY BLUE LOCKER****

Что случилось?

-------------------------------------------

Ваши компьютеры и серверы зашифрованы, резервные копии удалены из вашей сети и скопированы. Мы используем надежные алгоритмы шифрования, поэтому вы не можете расшифровать свои данные.

Но вы можете все вернуть, купив у нас специальную программу - универсальный декодер.

Эта программа восстановит всю вашу сеть.

Следуйте нашим инструкциям ниже, и вы восстановите все свои данные.

Если вы будете игнорировать это долгое время, мы начнем сообщать о взломе в основные средства массовой информации и публиковать ваши данные в темной сети.

Какие гарантии?

-------------------------------------------

Мы дорожим своей репутацией, если мы не будем выполнять свою работу и обязательства, нам никто не будет платить. Это не в наших интересах.

Все наши программы для дешифрования отлично протестированы и расшифруют ваши данные, а также окажем поддержку в случае возникновения проблем.

Мы гарантируем бесплатную расшифровку одного файла, напишите нам.

Как с нами связаться?

-------------------------------------------

Вы можете написать нам на наш почтовый ящик: grepmord@protonmail.com

!!! ОПАСНОСТЬ !!!

НЕ МОДИФИРУЙТЕ и НЕ ПЫТАЙТЕСЬ ВОССТАНОВИТЬ какие-либо файлы сами. Мы НЕ сможем их ВОССТАНОВИТЬ.

!!! ОПАСНОСТЬ !!

Внимание! Новые расширения, email и тексты о выкупе можно найти в конце статьи, в обновлениях. Могут быть различия с первым вариантом. 

Технические детали + IOC

Может распространяться путём взлома через незащищенную конфигурацию RDP, с помощью email-спама и вредоносных вложений, обманных загрузок, ботнетов, эксплойтов, вредоносной рекламы, веб-инжектов, фальшивых обновлений, перепакованных и заражённых инсталляторов. См. также "Основные способы распространения криптовымогателей" на вводной странице блога.

Нужно всегда использовать Актуальную антивирусную защиту!!!
Если вы пренебрегаете комплексной антивирусной защитой класса Internet Security или Total Security, то хотя бы делайте резервное копирование важных файлов по методу 3-2-1. 


➤ Удаляет теневые копии файлов с помощью команды:

wmic SHADOWCOPY DELETE

Список типов файлов, подвергающихся шифрованию:
Это документы MS Office, OpenOffice, PDF, текстовые файлы, базы данных, фотографии, музыка, видео, файлы образов, архивы и пр.

Файлы, связанные с этим Ransomware:
restore_file.txt - название файла с требованием выкупа;
eG5zd3V5Cg.exe - название вредоносного файла.

После написания статьи исследователем вредоносных программ MalwareHunterTeam был обнаружен образец записки, который используется в криптоконструкторе, на оснвое которого был сделан BlueLocker (BlueCryptor). Там по желанию меняется название и email вымогателей. Смотрите на скриншотах обведённые красным цветом элементы текста. 

Ошибка в названии:

В части кода исследователь S!Ri заметил ошибку в названии: Bule Cryptor. 

Это же слово есть в ключах реестра, которые создает программа. 

Расположения:
\Desktop\ ->
\User_folders\ ->
\%TEMP%\ ->

Записи реестра, связанные с этим Ransomware:

HKU\S-1-5-21-3711686801-687107597-1149503783-1001\Software\Microsoft\Windows\CurrentVersion\Run\Bule Cryptor

HKU\S-1-5-21-1015118539-3749460369-599379286-1001\Software\Microsoft\Windows\CurrentVersion\Run\Bule Cryptor

См. ниже результаты анализов.

Мьютексы:
См. ниже результаты анализов.

Сетевые подключения и связи:
Email: grepmord@protonmail.com, 
BTC: - 

См. ниже в обновлениях другие адреса и контакты. 

Результаты анализов: 

IOC: VT, HA, IA, TG, AR, VMR, JSB

MD5: a186f6b7ec6d3b6a31b7158082b9a0fa

SHA-1: 31b186369551995ce707217ac2402271c99dc605

SHA-256: 515bd71a8b3c2bce7b40b89ddfe2e94d332b0779d569c58117f8dcdcb8a91ed9

Vhash: 084056655d15556078z4fhz101jz

Authentihash: 928bfb9bc7ee811c70dd03255add80193513043d7e6188bb8903a44b8d90f857

Imphash: a76d54d97811c4a329d0a586fe8f68ca

Степень распространённости: низкая.
Информация дополняется. Присылайте образцы.

---

=== ИСТОРИЯ СЕМЕЙСТВА === HISTORY OF FAMILY ===

---

=== БЛОК ОБНОВЛЕНИЙ === BLOCK OF UPDATES ===

Вариант от 12 декабря 2021:

Расширение: .blue

Записка: restore_file.txt

Email: hyebwma@protonmail.com, hsbwabwy@xmpp.jp

Результаты анализа: VT, TG

MD5: 7ade88674690aa74970c12608b23bb30

SHA-1: 6522ee8ccc93ce3abec0a77a1732c15bb16a7ba0

SHA-256: 6eeb20cc709a18bf8845f7b678967b7f0ff96475cf51a261da87244886bbfd2e

Vhash: 084056655d15556078z53hz101jz

Imphash: c20bdcb2d02d3e0bacdf97b73a347fe4

---

=== БЛОК ССЫЛОК и СПАСИБОК = BLOCK OF LINKS AND THANKS ===

 Read to links: 
 Message + Message + myMessage
 Write-up, Topic of Support
 * 

 Thanks: 
 S!Ri, MalwareHunterTeam
 Andrew Ivanov (article author)
 ***
 to the victims who sent the samples
 

© Amigo-A (Andrew Ivanov): All blog articles. Contact.